El Internet de las Cosas parecía una gran idea en 2013: los supermercados de Europa están descubriendo que con la IA no lo era tanto

La noche del 11 al 12 de octubre, unos ciberdelincuentes tomaron el control de los sistemas de refrigeración de cientos de supermercados en Francia. Las temperaturas en las neveras y congeladores ascendieron hasta los 50 °C, lo que estropeó alimentos y provocó hasta incendios en varios establecimientos. Tres semanas después, el lunes 2 de noviembre, varios supermercados de Suecia, Bélgica, Luxemburgo y Estonia también informaron de fallos en los congeladores y frigoríficos que parecían provenir de ciberataques. También hubo casos en tiendas de Irlanda, Países Bajos y Finlandia.

Ante todo esto solo se me ocurren varias preguntas: ¿Qué narices está pasando? ¿Quién está detrás de todo? ¿En serio necesitábamos frigoríficos conectados en supermercados?

Tiendas afectadas. Varias tiendas minoristas declararon en varios medios que al menos 350 supermercados se vieron envueltos en un ciberataque. Según TIME, entre Intermarché y Netto la cifra ya ascendía a las 180 tiendas, Coopérative U al menos 100 y Carrefour 80. Thierry Cotillard, CEO de Intermarché, contaba al medio local BFM-TV que las pérdidas ascendían a decenas de millones de euros en todo el país en un solo día. La fiscalía de París abrió una investigación y el primer ministro Sébastien Lecornu pidió a la agencia nacional de ciberseguridad de Francia que lo investigara.

Desde ese punto nos vamos a este mismo lunes 2 de noviembre, en una oleada que ha atacado supermercados de más países. En este caso, las cadenas de Ahold Delhaize y Colruyt informaron de frigoríficos y congeladores afectados en decenas de tiendas en Bélgica y Luxemburgo, al igual que en las cadenas suecas ICA y Coop. Carrefour Bélgica también afirma que 15 de sus más de 700 tiendas se vieron afectadas, y Coop en Suecia cifraba en 7 sus tiendas afectadas. Informes posteriores también apuntaban a sus tiendas en Alemania, Portugal, Rumanía e Italia.

Descongelación. Según BFM-TV, los atacantes obligaron a los sistemas de refrigeración a entrar en un ciclo de descongelación continuo. Le Monde informa de que también ampliaron el tiempo de descongelación en algunas unidades de una hora a ocho, lo que retrasó las alarmas. En Bélgica, el director ejecutivo de la empresa instaladora Sabcobel declaraba que los evaporadores de las unidades se habían cambiado al modo de descongelación.

El punto débil. El hilo conductor es el software que gestiona las unidades de refrigeración, pues la agencia de ciberseguridad de Francia, ANSSI, afirmaba que el ataque en el país afectó a AK-SC y AK-SM, dos sistemas de gestión de refrigeración de la empresa danesa Danfoss. La compañía indicó que las unidades afectadas ejecutaban un firmware desactualizado. TIME también señalaba que en agosto la empresa de seguridad Claroty había publicado una investigación que mostraba fallos en un controlador de Danfoss que podían permitir a un intruso saltarse el inicio de sesión.

La empresa actualizó el firmware de su sistema de gestión, pero desde Reuters apuntan a que las unidades de Danfoss también estuvieron implicadas el 2 de noviembre.

Patrick Lamplmair, director de tecnología de la empresa de ciberseguridad Tributech, contaba al medio Gizmodo que miles de estos controladores seguían siendo accesibles desde Internet tras el ataque en Francia. “ningún dato que robar y ningún rescate que negociar”, expresaba al medio, solo unos pocos comandos capaces de vaciar el stock de una tienda de la noche a la mañana.

Dónde entra la IA. Nada de lo publicado hasta el momento demuestra que se utilizara IA en estos ataques. El Centro de Ciberseguridad de Bélgica afirma que no sabe quién está detrás de ellos y que es posible que nunca se conozca al culpable. Su portavoz, Katrien Eggers, declaraba a Reuters que le preocupaba la IA pues, a su juicio, facilita que ciberatacantes puedan explotar debilidades en los sistemas.

El Centro Nacional de Ciberseguridad del Reino Unido espera que se utilicen programas maliciosos impulsados por IA en un ataque de ransomware contra la infraestructura crítica del país para 2028. Su director, Richard Horne, menciona precisamente la calefacción y refrigeración entre los sistemas que ejecutan procesos físicos de los que depende la sociedad, y señala que los ataques en Francia demostraron lo fácil que es explotarlos.

No solo los supermercados. Desde la división de investigación de la empresa Forescout encontraron 12.976 servicios de refrigeración expuestos a Internet en 6.017 direcciones IP públicas en 99 países. La empresa advierte de que el riesgo se extiende a los equipos de refrigeración de hospitales y centros agrícolas, así como en sistemas de almacenamiento farmacéutico, plantas de procesamiento de alimentos o almacenes, por lo que si alguien tuviese acceso a estos sistemas expuestos, causaría un buen daño a infraestructura crítica.

Frigoríficos conectados. Los supermercados conectan sus unidades para que el mantenimiento y la supervisión se puedan realizar de forma remota. TIME describe paneles de control centrales, a menudo conectados a Internet para que las empresas de mantenimiento puedan acceder a ellos. El tema está en que si alguien ajeno a la empresa accede de forma ilícita a esos controles, pasa precisamente lo que ha ocurrido estas últimas semanas en los supermercados mencionados.

Lo de exponer una interfaz de gestión directamente a Internet es algo que igual no debería pasar. Incluso la ANSSI ha sido especialmente crítica con este punto, pues en caso de que se necesite acceso remoto, la agencia recomendaba limitarlo a direcciones IP de confianza. Y el tema es que tampoco es nuevo pues, hace unos años, el medio TechCrunch informaba de que el investigador Noam Rotem había encontrado miles de refrigeradores industriales expuestos en línea, y que con las contraseñas predeterminadas de la propia documentación del fabricante se podían desbloquear. Vaya, que quien quiera hacer daño, lo va a poder hacer, sobre todo teniendo en cuenta la pobre infraestructura de seguridad con la que se cimentan muchos sistemas críticos para la sociedad.

Imagen de portada | Sandra Tan