Un ataque masivo contra los sistemas de refrigeración de unos 700 supermercados en Francia provocó la interrupción del funcionamiento de neveras y congeladores, y elevó las temperaturas en algunos de ellos hasta los 50 grados Celsius. Esto causó el deterioro de cantidades indeterminadas de alimentos y el estallido de incendios en algunos sistemas eléctricos.
Los atacantes apuntaron a unidades de control conectadas a Internet que permitían a los técnicos gestionar a distancia los sistemas de refrigeración de las tiendas. Tras vulnerarlas, activaron las funciones de desescarche durante largos periodos, lo que elevó las temperaturas en lugar de mantener la cadena de frío. También se informó de efectos relacionados con el incidente en España, Portugal, Polonia, Alemania y Bélgica.
Vulnerabilidades conocidas en dispositivos antiguos
Según informes de investigación y alertas de seguridad públicas, entre los dispositivos afectados había modelos de la empresa danesa Danfoss, Dixell y su empresa matriz estadounidense Copeland. Hasta hace poco, algunos modelos de unidades Danfoss utilizaban una contraseña diaria generada a partir de la fecha dentro del firmware disponible para su análisis. Como la contraseña era idéntica en modelos instalados en cientos o miles de tiendas, era posible reproducirla en los dispositivos que no habían recibido una actualización reciente.
Las unidades de Copeland y Dixell también presentaban vulnerabilidades críticas corregidas durante los últimos meses, que permitían el acceso remoto con privilegios similares a los de los administradores. Esto indica que el problema no era la existencia de una conexión remota en sí misma, sino el funcionamiento de dispositivos antiguos que seguían siendo accesibles desde Internet público.
¿Qué se podría haber evitado en la práctica?
Investigadores de Pen Test Partners afirmaron que unas medidas básicas habrían podido cambiar el resultado del incidente, entre ellas retirar las unidades de control de Internet público, situar el acceso remoto detrás de una red VPN y una lista de direcciones IP permitidas, cambiar las credenciales conocidas o predeterminadas y actualizar el software a versiones actuales.
Los investigadores también subrayaron la necesidad de incorporar los equipos de terceros a la red de la organización de forma documentada y bajo su control, en lugar de dejarlos conectados mediante una conexión perteneciente a un contratista externo. Claroty ya había advertido sobre los riesgos de ignorar estas medidas en octubre pasado, mientras que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos, CISA, emitió una advertencia similar en febrero.
La entidad responsable y las lecciones pendientes
La entidad responsable del ataque no ha reivindicado su autoría, por lo que sus motivaciones siguen sin estar claras entre un sabotaje a gran escala y la posibilidad de que una entidad internacional o gubernamental ejecutara una operación de interrupción transfronteriza. Copeland reconoció la existencia de una vulnerabilidad en una generación descatalogada y sin soporte de unidades de control, y afirmó que trabaja con los clientes para evitar incidentes similares. Danfoss no respondió de inmediato a las preguntas de Ars Technica, aunque también se señaló que había modelos descatalogados en el centro del debate.
La importancia del incidente reside en que muestra cómo un pequeño dispositivo industrial, si se gestiona con software antiguo y un acceso expuesto, puede convertirse en un punto de impacto operativo directo sobre las existencias y la seguridad de las instalaciones. Sin embargo, la fuente no determina el número de dispositivos comprometidos ni el valor final de las pérdidas, y tampoco demuestra por ahora la identidad o la motivación del atacante.