Los sistemas de refrigeración de supermercados en nueve países europeos fueron presuntamente interrumpidos el lunes, tras un ataque que afectó a unos 700 de los 10,000 supermercados de Francia en octubre. La agencia nacional de ciberseguridad de Francia, CERT-FR, vinculó las intrusiones a módulos de control remoto fabricados por Danfoss y Copeland, dos proveedores consolidados de controles y componentes para refrigeración comercial. Ningún grupo ha reclamado la responsabilidad. Los incidentes ponen de relieve cómo la refrigeración de supermercados, gestionada en gran parte mediante controles conectados a internet, puede ser alterada de forma remota y a gran escala.

Tiendas en Bélgica, Estonia, Finlandia, Irlanda, Italia, Luxemburgo, Países Bajos, Portugal y Suecia reportaron problemas. En Estonia, algunos equipos de refrigeración fueron presuntamente forzados a alcanzar 50°C (122°F). El gobierno de Italia tenía programada una reunión sobre ciberseguridad el martes, mientras CERT-FR advertía que las campañas probablemente continuaban activas.

La primera oleada reportada ocurrió en Francia. El ministro de Finanzas, Roland Lescure, informó al Parlamento el 13 de octubre que unos 700 supermercados habían sido afectados. Según CERT-FR, los hackers forzaron a los sistemas a ciclos de descongelamiento continuo, dañando alimentos y provocando incendios en algunas tiendas. La agencia señaló que tenía conocimiento de numerosas intrusiones que involucraban módulos de control remoto de Danfoss y Copeland.

Groupement Mousquetaires, propietario de las cadenas Intermarché y Netto, reportó que 300 de sus tiendas fueron afectadas. Cooperative U indicó que 80 de sus 2,000 tiendas habían sido golpeadas. Lescure afirmó que el suministro de alimentos no estaba en riesgo, pero reconoció que el ataque "toca el corazón de nuestra seguridad alimentaria". Algunos exhibidores de Mousquetaires permanecieron fuera de servicio el martes.

Los incidentes del lunes afectaron a varias cadenas de supermercados en Bélgica. Carrefour reportó interrupciones en unas 15 de sus 700 tiendas. El contratista belga de refrigeración Sabcobel señaló que los evaporadores habían sido cambiados a modo de descongelamiento —normalmente un ciclo periódico para eliminar la acumulación de hielo, pero que calienta los compartimentos de alimentos cuando se ve forzado a funcionar de forma continua— y los fiscales federales abrieron una investigación. Cuatro sucursales de Delhaize en Luxemburgo también reportaron problemas.

En Italia, Radenza Group, que opera tiendas de la marca Coop en Sicilia, dijo que el ataque comenzó a las 4 a.m. hora local y que tenía como objetivo el sistema de control remoto de las secciones de alimentos congelados. Musgrave, de Irlanda, reportó que 13 tiendas SuperValu fueron afectadas, mientras que Mosqueteiros confirmó incidentes en siete tiendas Intermarché en Portugal.

A 50°C (122°F), un congelador está muy por encima de una temperatura de operación segura. Los alimentos dejados demasiado tiempo en esas condiciones pueden dañarse rápidamente y permitir el crecimiento de bacterias.

En Suecia, Coop dijo que seis de sus aproximadamente 800 tiendas fueron afectadas. La empresa indicó que esas tiendas usaban conexiones 4G, lo que las hacía "más expuestas". Ica señaló que un número limitado de sus tiendas tuvo problemas y que las sucursales afectadas utilizaban un sistema de control externo de Danfoss. Ninguna de las dos cadenas suecas ha confirmado que los incidentes fueran causados por un ciberataque. El minorista finlandés Kesko dijo que no se ha descartado una interferencia de red.

El comisionado de Agricultura de la UE, Christophe Hansen, calificó los incidentes como un "intento deliberado" de alterar la cadena de suministro de alimentos. Los investigadores no han establecido si los incidentes del lunes están conectados con el ataque anterior en Francia.

La empresa estonia de refrigeración Kitman Coldtech dijo que los equipos afectados eran modelos antiguos de Danfoss similares a los atacados en Francia. CERT-FR advirtió que dejar un dispositivo al final de su vida útil, sin parches de seguridad, conectado a internet conlleva un riesgo muy alto de intrusión.

Investigadores de Claroty reportaron vulnerabilidades en los controladores Danfoss AK-SM 800A en agosto, incluida una falla de elusión de autenticación. La línea AK-SM 800A se utiliza para monitorear y gestionar sistemas de refrigeración en supermercados, y Claroty encontró 2,765 de esos dispositivos expuestos en internet. Danfoss corrigió las vulnerabilidades en el firmware R4.3.1, aunque aún no está claro qué debilidades explotaron los atacantes.

CERT-FR recomienda a los operadores retirar los controladores de la internet pública. El director ejecutivo de Sabcobel dijo que muchas unidades antiguas requieren modificaciones físicas que implican inversión. Hasta que se realicen esos cambios, los sistemas más antiguos podrían no tener una solución técnica práctica. CERT-FR indicó que la campaña probablemente seguía activa mientras Italia se preparaba para su reunión de ciberseguridad el martes.

Fuente: Decrypt.