admin
El pasado fin de semana un aparatoso ciberataque sorprendía a las principales cadenas de supermercados francesas. Compañías como Intermarché, Carrefour o Auchan vivían como decenas de sus establecimientos tenían problemas con los sistemas de refrigeración. Las consecuencias no se hacían esperar. Infinidad de productos perecederos se estropearon por las altas temperaturas que habían alcanzado las máquinas y en los casos más extremos incluso se tuvieron que sofocar incendios en los supermercados.
Es la primera vez que se da un ataque a gran escala tan efectivo contra el sector de la distribución alimentaria. Pero ¿pudo haberse evitado? ¿Cómo es posible que el incidente afectara a tantos gigantes de la distribución alimentaria? Hemos hablado con expertos en ciberseguridad para saber qué pasó exactamente y qué falló.
Para entender lo sucedido hay que viajar virtualmente hasta Dinamarca y remontarse hasta el 2023. En aquel año la firma especializada en seguridad ofensiva Synacktiv pudo documentar y notificar fallos críticos en los sistemas de tiendas y refrigeración del fabricante danés Danfoss, proveedor de la mayoría de cadenas de supermercados galas.
La compañía de ciberseguridad avisó hace tres años de que había un fallo de salto de autenticación que permitía tomar el control administrativo remoto de los equipos sin necesidad de contraseña. Synacktiv advirtió claramente de que al explotar estas vulnerabilidades en dispositivos conectados a Internet sin la debida protección los atacantes podrían manipular remotamente los parámetros térmicos y forzar apagados o descongelaciones en los sistemas de climatización y la cadena de frío.
Cuando se detectaron estos problemas fueron comunicados a Danfoss como parte de la habitual divulgación responsable. La compañía danesa informó rápidamente (en un plazo de dos semanas) a sus clientes indicándoles que los equipos afectados estaban obsoletos y pidiéndoles que aislaran las máquinas vulnerables. Pero aunque sí proporcionó una solución a los equipos compatibles… no ofreció ningún parche para esas máquinas antiguas.
«Estos controladores suelen funcionar durante años sin actualizaciones, y su parcheo depende de los operadores y contratistas de mantenimiento, no únicamente del fabricante. Probablemente se subestimó el impacto potencial de estas vulnerabilidades en entornos reales», comenta para Escudo Digital Kevin Tellier, auditor de seguridad de Synacktiv y uno de los autores de aquel hallazgo.
Para Tellier, es muy probable que las grandes cadenas de supers no hicieran los deberes. «Los modelos afectados ya no contaban con el soporte del proveedor. Los dispositivos vulnerables aún se utilizan; estos sistemas pueden ser bastante costosos y reemplazar este tipo de equipos cada diez años puede resultar complicado para los distribuidores y las tiendas independientes debido al coste operativo. Todavía desconocemos si solo se explotaron dispositivos obsoletos», señala.
Synacktiv no fue la única en alertar sobre problemas de esta clase. A principios del año pasado la compañía especializada en seguridad para IoT Claroty volvió a dar la voz de alarma, advirtiendo explícitamente sobre el riesgo de manipulación maliciosa de la temperatura. Poco después, en marzo, Danfoss publicó un aviso de seguridad y actualizó a sus clientes con un nuevo firmware que solucionaba estas vulnerabilidades. Pero no todos se actualizaron y las razones de ello son mucho más complejas que un simple despiste o un mal hacer por parte de los CISO.
«La visibilidad de la información de los activos (números de serie, números de producto, protocolos de comunicación, etc.) permite a las organizaciones elaborar inventarios completos y correlacionar esa información con las vulnerabilidades conocidas. Sin una visibilidad adecuada de los activos existentes y de cómo y dónde se comunican, resulta difícil aplicar medidas de mitigación, parches y controles exhaustivos», explica para Escudo Digital Amir Preminger, CTO de Claroty y jefe de Team82.
«Históricamente, las organizaciones han operado bajo la premisa de que estos controladores de refrigeración especializados estaban aislados de las redes centrales, pero los ciberdelincuentes actuales utilizan herramientas de escaneo y de inteligencia artificial disponibles públicamente para buscar activamente dispositivos OT conectados a Internet. Las empresas se encuentran en una carrera contrarreloj donde los atacantes pueden escalar más rápido de lo que permiten los programas tradicionales de parcheo y actualización», añade.
Más allá de esta agilidad de la IA para ‘hacer el mal’ hay que subrayar otro aspecto que han remarcado las autoridades francesas. La alerta no solo se ciñó a una única marca, sino a cuatro familias de equipos de tres fabricantes distintos que compartían la misma vulnerabilidad de fondo. En definitiva, máquinas conectadas a la Red sin que nadie las mirase. Además de Danfoss y sus series AK-SM y AK-SC, también estaban en el ajo Copeland y Dixell.
Un ataque que marca una nueva etapa para la seguridad digital
Las graves consecuencias del ciberataque al sector de la distribución alimentaria (cientos de tiendas afectadas y millones de euros en pérdidas) llevan a pensar que este incidente no tiene parangón y que quizás nos encontramos ante un nuevo WannaCry o NOTPetya. Sin embargo, no es la primera vez que ocurre algo parecido.
En 2022 un escenario muy similar ya se había producido en Rusia: unos atacantes accedieron a un controlador Danfoss en el centro agroindustrial de Seliatino, cerca de Moscú, crearon una cuenta con privilegios completos e intentaron aumentar la temperatura de los congeladores de alimentos congelados. El equipo resultaba perfectamente accesible desde Internet para su monitorización y manipulación remota. Podría haber sido un estupendo… «cuando las barbas de tu vecino veas cortar, pon las tuyas a remojar», pero no fue así.
La sombra del sabotaje
Una de las preguntas que aún no se ha respondido sobre el incidente es quién o quiénes están detrás. Al no haber intereses económicos de por medio ni una petición de rescate, todo apunta a que podría tratarse de un actor de amenazas vinculado a un estado.
Para Carlos Castro, director de cuentas estratégicas en WatchGuard España, ante la falta de una reivindicación pública, «es clara la intención de provocar un sabotaje económico, provocando pérdidas directas y la interrupción de la actividad». Castro no descarta la presencia de un componente geopolítico vinculado a campañas de guerra híbrida y evoca antecedentes clave como el ataque a la cadena Target en 2013 —perpetrado a través de un proveedor de climatización— o el caso Colonial Pipeline en 2021.
Borja Pérez, Country Manager de Stormshield Iberia, sitúa la raíz de este tipo de incidentes de impacto físico en el célebre precedente de Stuxnet en 2010, el cual «abrió las puertas a este tipo de ataques demostrando que el software podía romper una infraestructura física». No obstante, matiza que, a diferencia de las instalaciones nucleares, en las cadenas de supermercados «el objetivo más bien es de impacto social y económico», recordando que el volumen global de pérdidas en este incidente ya se sitúa en decenas de millones de euros.
Un matiz importante es analizar el ciberataque a partir de lo que no ocurrió esa noche. «Lo que más llama la atención es lo que no aparece. No se conoce petición de rescate, no se ha informado de robo de datos y el daño es físico, inmediato e irreversible: comida que hay que tirar», analiza Juan Francisco Cornago, director de Ciberseguridad de Babel.
«Hay un detalle que me parece más revelador que cualquier motivación», continúa. «En la misma noche cayeron cadenas que compiten entre sí, Intermarché, Netto, Coopérative U, Monoprix, Carrefour Market y Super U. Quien ataca a una cadena de supermercados quiere dañar a esa cadena. Quien ataca a una categoría de controlador se lleva por delante a todo el que lo tenga, sin elegir víctima. Con lo publicado hasta hoy, eso apunta más al tipo de equipo que a una empresa concreta», apostilla.
Según el análisis de Prosegur Cybersecurity, los ataques a la cadena de suministro registraron en 2025 un coste medio de 4,33 millones de euros por incidente. Para su director, David Fernández, «el reto ya no consiste únicamente en evitar una intrusión, sino en garantizar la resiliencia de las organizaciones frente a amenazas capaces de trasladar sus consecuencias del entorno digital al físico».
