Hackers de neveras estropean comida en Europa: segunda oleada

Durante la noche del lunes 2 de noviembre, atacantes modificaron a distancia los ajustes de sistemas de control de refrigeración de supermercados y empresas alimentarias de al menos nueve países europeos, calentando neveras y congeladores y obligando a las tiendas a retirar de los lineales productos refrigerados y congelados. Fue la segunda oleada en tres semanas, tras una campaña de mediados de octubre que afectó a cientos de supermercados franceses. Ningún grupo ha reivindicado ninguna de las dos oleadas, y las autoridades británicas y belgas afirman que quizá nunca se llegue a determinar la autoría.

El número de víctimas es amplio, pero el daño por cadena fue limitado; esta vez. The Hacker News recopiló los casos confirmados: Delhaize, con varias decenas de tiendas en Bélgica y Luxemburgo; Carrefour, con 15 de más de 700; Intermarché, Spar, un IKEA en Mons, ICA y Coop en Suecia, SuperValu de Musgrave en Irlanda (13 de 223 tiendas), Selver en Estonia, Kesko en Finlandia, el grupo Mosqueteiros de Intermarché en Portugal, tiendas Coop gestionadas por Radenza Group en Sicilia y al menos 17 empresas neerlandesas, entre ellas carnicerías y pequeños comercios. En Reino Unido, The Record informa de que tres miembros de la Association of Independent Meat Suppliers resultaron afectados a través de controladores de supervisión Copeland XWEB vulnerables, además del mayorista Langridge Organic.

La cifra más alta hasta ahora: un carnicero de la zona de Amberes, Luc De Laet, explicó a Reuters que unos 15.000 euros en carne se echaron a perder después de que sus neveras se subieran hasta los 18 °C. La mayoría de las cadenas informaron de pérdidas limitadas. Algunas no perdieron nada, porque alguien estaba mirando en el momento justo.

Lo que muestra la cronología

Conviene fijar bien esta secuencia, porque el orden importa más que los titulares.

En agosto, investigadores de la firma de ciberseguridad industrial Claroty revelaron casi dos docenas de vulnerabilidades en los controladores XWEB Pro de Copeland. Desde entonces hay disponible una corrección de firmware. Según una nota de seguridad distribuida entre los miembros de AIMS, el firmware XWEB 1.12.1 y anteriores contenía graves vulnerabilidades de omisión de autenticación: los atacantes podían tomar el control sin contraseña.

A mediados de octubre, la primera oleada golpeó a supermercados franceses, echando a perder alimentos y, según CSO Online, provocando algunos incendios. CERT-FR publicó un aviso en el que pedía a los operadores desconectar de internet cualquier sistema de control de refrigeración con una dirección IP pública, y reconectarlo solo a través de una VPN segura tras verificar la configuración y, si era necesario, restaurar los valores de fábrica. Como medida provisional de emergencia, los operadores podían filtrar las conexiones para permitir solo las direcciones IP de sus proveedores de refrigeración. El 13 de octubre, Danfoss dio a sus clientes neerlandeses el mismo consejo: desconectar y reconectar solo a través de una red segura.

Día 0 de la segunda oleada, 2 de noviembre: los atacantes fueron a por los operadores que no habían actuado. En Bélgica, las unidades se pusieron en modo descongelación, una función pensada para eliminar el hielo que aquí se usó para calentar los alimentos. En Sjöbo, Suecia, una tienda ICA informó de neveras y congeladores configurados a 50 °C. En un Selver de Estonia, la consigna de un congelador subió a 50 °C; la temperatura real solo aumentó entre 2 y 3 °C antes de que el personal lo resolviera en unos diez minutos, sin pérdida de producto. Según el propio relato de Danfoss, los sistemas neerlandeses afectados no estaban en una red segura y seguían usando contraseñas por defecto.

Esa es toda la cadena de ataque. Sin malware, sin mecanismo de persistencia que alguien haya descrito, sin movimiento lateral que merezca ese nombre. Controlador expuesto a internet, autenticación débil o inexistente, consigna modificada, mercancía echada a perder. El director de operaciones del NCSC, Paul Chichester, dijo sobre la oleada francesa: «Se trata de vulnerabilidades que sin duda llevan mucho tiempo ahí fuera». Fallos aburridos, explotados a gran escala. He cubierto incidentes más llamativos que causaron menos daño.

¿Cuándo se podría haber detectado? En tres momentos. En agosto, cuando se publicó el parche. El 13 de octubre, cuando el proveedor dijo a los clientes que desconectaran. Y la propia noche del ataque: el director general de Langridge Organic, Alex Pearce, contó a The Grocer que estaba «bastante seguro de que interrumpí un ataque informático en directo», al desconectar físicamente de internet una nevera mientras veía cómo la llevaban a descongelación de forma remota. La intervención manual salvó su mercancía. Eso no es un control; es suerte con un par de manos.

Exposición: tu cadena de frío probablemente es problema de otro

El motivo por el que tantos minoristas no reaccionaron tras Francia no es exactamente pereza. Es estructural. Katell Thielemann, de Gartner, dijo a CSO Online que los minoristas son propietarios del hardware, pero externalizan el mantenimiento, el cuidado y la gestión: «hay cierta confusión sobre quién es dueño de qué dentro de esta caja negra de la externalización». Bobby Kuzma, de IDC, lo planteó en términos que reconocerá cualquier responsable de respuesta a incidentes: los equipos de seguridad que vigilan los informes de vulnerabilidades y las personas que gestionan la parte OT son poblaciones distintas, y los primeros «quizá ni siquiera sabían que los dispositivos estaban conectados a la red, sobre todo si funcionaban a través de circuitos de internet dedicados para el soporte del fabricante».

Así que la primera comprobación no es un escaneo. Es un recorrido. El consejo de Kuzma es poco vistoso y acertado: alguien debe ir físicamente al armario de telecomunicaciones de cada local y hacer preguntas concretas sobre qué equipos hay y a qué están conectados. La declaración de Kesko es reveladora: el equipamiento de las tiendas finlandesas afectadas estaba fuera de las protecciones centrales de Kesko. Musgrave limitó su incidente a un único modelo de refrigeración. Ambos hechos apuntan a lo mismo: la heterogeneidad de los activos anula las suposiciones de gestión centralizada.

Concretamente, las comprobaciones de exposición para esta semana:

• Enumera todos los controladores de refrigeración de tu parque de equipos —Danfoss, Copeland XWEB y cualquier otro—, incluidos los equipos instalados por contratistas en locales pequeños o franquiciados.
• Compara el firmware de cada unidad con el aviso de Copeland XWEB: la versión 1.12.1 y anteriores contiene la omisión de autenticación.
• Identifica todos los controladores accesibles desde internet público, incluidos los conectados mediante 4G y circuitos dedicados de soporte del proveedor.
• Audita las credenciales por defecto. Danfoss indica que las víctimas neerlandesas seguían usándolas.
• Pide a tu contratista de refrigeración, por escrito, cómo se conecta de forma remota y si esa vía se ajusta a lo que recomienda CERT-FR.

Detección: ¿qué mostraron los registros?

Respuesta honesta: no lo sabemos, porque casi nadie los recopilaba. Los ataques se detectaron por termodinámica, no por telemetría: comida que se calentaba, personal que se daba cuenta, un director que casualmente miraba una sesión en directo. ICA ni siquiera confirmó un ciberataque. Kesko informó de temperaturas inusuales y de que la causa estaba en investigación.

Las oportunidades de detección aquí son baratas, y eso hace que su ausencia resulte todavía más frustrante:

• Alerta de los cambios de consigna fuera de las ventanas de mantenimiento. Un comando de descongelación a las 2 de la madrugada en decenas de tiendas a la vez no es una visita de servicio.
• Registra y alerta de los eventos de autenticación en los controladores, sobre todo de inicios de sesión correctos desde direcciones IP que no pertenecen a tus contratistas conocidos.
• Alertas de temperatura independientes, separadas del propio controlador. Si el equipo que informa de la temperatura es el que está siendo atacado, tu monitorización está secuestrada.
• Conciencia de tráfico saliente: conoce qué dispositivos de cada local se comunican hacia fuera y con quién. Según se informa, varias víctimas no sabían que el equipo estaba conectado a internet.

El caso de Estonia muestra el límite incluso de una buena respuesta: diez minutos desde la detección hasta la resolución, y aun así el congelador subió 2–3 °C. Vale para mercancía congelada. Piensa en lo que esos mismos diez minutos significan para un ciclo de descongelación ejecutado con un compresor bajo carga: los incendios notificados en Francia son la versión de esta historia en la que nadie estaba mirando.

Mitigación y la solución a largo plazo

Las mitigaciones ya están documentadas y funcionan. Las víctimas neerlandesas fueron las que las ignoraron. La guía de CERT-FR de octubre sigue siendo el manual vigente: retirar de internet los controladores con IP pública, verificar las configuraciones, restaurar los valores de fábrica cuando haya dudas, reconectar mediante VPN segura y, como solución provisional, permitir solo las IP de los proveedores. Copeland afirma que ha vuelto a comunicar a sus clientes sus protocolos de parcheo y seguridad; los operadores de XWEB deberían tratar la actualización de firmware como trabajo de esta semana, no de este trimestre.

A largo plazo, la pregunta incómoda es la que plantea el ángulo editorial: ¿sigue compensando el control remoto de la refrigeración de supermercados cuando los atacantes pueden convertir un acceso OT débil en inventario echado a perder, mano de obra de emergencia, costes de eliminación y riesgo de incendio? La economía sigue favoreciendo la gestión remota: empresas de refrigeración como Sabcobel y Kitman Coldtech existen porque monitorizar parques enteros a distancia es más barato que las visitas a cada local, y el ajuste de la banda muerta, la descongelación y la presión del compresor realmente requieren hacerlo así. Lo que cambia el retorno de la inversión es la diferencia entre la gestión remota bien hecha —redes segmentadas, acceso por VPN, credenciales únicas— y la versión que usaban las víctimas neerlandesas: equipos colgados de internet abierto protegidos con contraseñas de fábrica. Son productos distintos a precios distintos, y las pérdidas de esta semana son la factura por confundirlos.

La regulación podría forzar el cambio de forma desigual. AIMS presiona para que el sector alimentario tenga un lugar más sólido en las designaciones de infraestructuras nacionales críticas del Reino Unido; hoy no hay activos alimentarios individuales designados, y el sector queda fuera de la próxima Cyber Security and Resilience Bill, con multas de hasta 17 millones de libras o el 4 % de la facturación global. La NIS2 de la UE sí cubre la producción y distribución de alimentos. El director ejecutivo del NCSC, Richard Horne, calificó los ataques a congeladores de «simplemente las estribaciones» de lo que advierte el informe anual de su agencia, y su director técnico, Ollie Whitehouse, dijo que le «sorprende ver que algunas de estas cosas sigan conectadas a internet en 2026, pese a las advertencias».

La conclusión

Dos oleadas, separadas por tres semanas, misma técnica y, en gran parte, la misma clase de víctima. La brecha entre ellas no fue innovación de los atacantes; fue inacción de los defensores, en buena parte explicable por acuerdos de externalización que dejaron a nadie con el riesgo. Si gestionas almacenamiento en frío, la pregunta no es si tus controladores son vulnerables, sino si alguien de tu organización podría decirte esta noche cuáles de ellos son accesibles desde internet. Los atacantes ya tienen esa lista. La compilaron a partir de datos públicos de escaneo mientras el parche seguía sin aplicarse.