Los ciberataques a frigoríficos de supermercados europeos dieron la vuelta al mundo. Francia acaba de señalar a un responsable
Cuando pensamos en un ciberataque, es fácil imaginar datos robados, servicios bloqueados o pantallas que dejan de responder. Pero algunos sistemas conectados no se limitan a gestionar información: también controlan máquinas de las que dependen actividades tan cotidianas como conservar alimentos. Los equipos de refrigeración comercial son un ejemplo, porque sus parámetros pueden gestionarse mediante controladores electrónicos y conexiones remotas. Lo ocurrido en Francia ha mostrado hasta qué punto una intrusión puede trasladarse del entorno digital al físico, con mercancías que dejan de ser aptas para el consumo y daños en las instalaciones.
Los hechos se remontan a la noche del 11 al 12 de octubre, cuando los atacantes manipularon sistemas de refrigeración en Francia. Según el informe de las autoridades recogido por Reuters, la campaña tuvo como objetivo unos 700 establecimientos comerciales, principalmente supermercados, aunque también hubo carnicerías y centros de procesamiento de alimentos. El 9 de noviembre, el Gobierno francés dio un paso más al atribuir oficialmente aquella ofensiva a la Guardia Revolucionaria iraní.
El informe conjunto de los servicios franceses de inteligencia y ciberseguridad identifica a Shahid Kaveh como la unidad que habría ejecutado el sabotaje. Los investigadores relacionaron la infraestructura utilizada con otras operaciones atribuidas al grupo, detectaron semejanzas en los procedimientos de intrusión y encontraron rastros de persa y direcciones IP asociadas a dispositivos situados en Irán. El documento también identifica a tres presuntos implicados: Hamid Reza Lashgarian, Mahdi Lashgarian y Reza Salarvand. Estos son los indicios sobre los que las autoridades sustentan su atribución.
Cómo se produjo el ataque
Para entender cómo fue posible, hay que mirar al sistema que controla el frío, no a la puerta del congelador. Muchos equipos comerciales incorporan interfaces de administración que permiten regular la temperatura y gestionar a distancia tareas como el desescarche, el proceso que elimina el hielo acumulado. Según la Fiscalía de París, los intrusos accedieron remotamente a esos controles, activaron ciclos de desescarche anormales y prolongados y desactivaron alertas de seguridad. Algunos dispositivos afectados eran antiguos o utilizaban software desactualizado, aunque no se ha acreditado públicamente qué fallo concreto permitió acceder a cada instalación.
Las consecuencias se hicieron visibles en los pasillos de los supermercados. Reuters documentó cómo los empleados retiraban carne estropeada y helados derretidos para arrojarlos a grandes contenedores, mientras algunos equipos alcanzaban temperaturas tan elevadas que llegaron a incendiarse. El informe francés contabiliza al menos 15 incendios, además de importantes pérdidas de mercancía. Todavía no existe un balance económico definitivo de toda la campaña, pero Thierry Cotillard, presidente de Les Mousquetaires, el grupo propietario de Intermarché, estimó que el coste conjunto para el sector en Francia podría ascender a varias decenas de millones de euros.
El problema tampoco quedó limitado a la campaña francesa de octubre. La agencia europea ENISA confirmó una nueva oleada los días 1 y 2 de noviembre, y Reuters informó de más de 100 establecimientos afectados en Europa. En Francia, un ataque contra equipos de tres instalaciones del servicio de sangre EFS obligó a proteger o trasladar reservas de plasma, sin pérdidas de productos ni consecuencias sanitarias, según la entidad. En Estados Unidos se investigan como posibles ciberataques los fallos registrados en agosto en al menos seis establecimientos de abastecimiento militar. No está demostrado que todos estos incidentes tengan un mismo responsable.
La respuesta de Francia ya ha pasado del terreno técnico al diplomático. El ministro de Exteriores, Jean-Noël Barrot, ha convocado al embajador iraní y ha anunciado que París promoverá sanciones europeas contra los responsables, unas medidas que todavía no deben darse por aprobadas. En paralelo, la Fiscalía ha solicitado órdenes internacionales de detención contra los presuntos implicados. La misión iraní ante Naciones Unidas no respondió a las solicitudes de comentarios de Reuters. Más allá de la investigación, el caso recuerda que la protección de equipos industriales conectados también es una cuestión de seguridad física.
Imagen ilustrativa que no corresponde al incidente. Fotografía de John Cameron (Unsplash)
