Durante la madrugada del lunes 2 de noviembre, atacantes tomaron control remoto de los sistemas de refrigeración de decenas de supermercados en Bélgica, Suecia, Luxemburgo, Estonia y otros países europeos, y elevaron la temperatura de cámaras y congeladores hasta arruinar alimentos. Es la segunda ola de este tipo en tres semanas, tras la que afectó a cientos de locales en Francia en octubre.
Los primeros reportes llegaron desde Bélgica. Delhaize informó que detectó alzas anormales de temperatura y calificó lo ocurrido como un incidente informático; una vocera explicó a Euronews que afecta "los sistemas de refrigeración en varias decenas de tiendas" (traducción propia). Colruyt confirmó cinco tiendas Spar afectadas. El contratista que mantiene los equipos de Delhaize, Sabcobel, indicó que los atacantes activaron a distancia el modo de descongelamiento y que sus técnicos trabajaron desde la madrugada desconectando instalaciones.
En Suecia, ICA reconoció problemas en un número limitado de locales y Coop confirmó seis tiendas en el centro del país. El jefe del centro nacional de ciberseguridad sueco señaló a Reuters que se están gestionando varios incidentes y que existen muchos dispositivos de tecnología operacional expuestos que deben corregirse, según recogió Security Affairs. En Estonia, un proveedor de equipos de frío informó a la televisión pública que un sistema fue llevado a 50 °C. The Record agrega casos en Irlanda, Países Bajos y Luxemburgo.
No hay confirmación oficial sobre las marcas de equipos comprometidos en esta ola. Según medios citados por The Record, en Bélgica se habrían visto afectados equipos Copeland y en Estonia un sistema antiguo de Danfoss. Ambos fabricantes habían dicho, tras el caso francés, que los equipos atacados eran principalmente productos discontinuados y sin actualizaciones de seguridad.
El antecedente directo es Francia. El 12 de octubre, el CERT-FR publicó una alerta por numerosos casos de compromiso de controladores remotos de refrigeración Danfoss AK-SC y AK-SM y supervisores XWEB de Copeland y Dixell, cuyas interfaces de gestión estaban accesibles desde internet. La fiscalía de París estimó unas 700 víctimas en esa ola, según The Record.
El caso demuestra que un ataque no necesita cifrar datos ni pedir rescate para detener un negocio: basta con alterar un parámetro físico. Supermercados, centros de distribución, frigoríficos, agroexportadoras, salmoneras, laboratorios y clínicas dependen de cadena de frío controlada por equipos que muchas veces administra un contratista externo con acceso remoto.
Estos controladores suelen quedar fuera del inventario del área TI, con contraseñas de fábrica y firmware sin soporte. Si están publicados en internet, cualquiera que los encuentre puede intentar entrar. La pérdida es inmediata: mercadería destruida, locales cerrados y posibles riesgos sanitarios.
Para operadores de importancia vital, la Ley 21.663 obliga a proteger las redes y sistemas que sostienen su servicio y a reportar incidentes significativos a la ANCI, y un ataque que altera equipos de frío conectados puede caer en esa categoría. Aun sin esa calificación, el plan de continuidad operacional debería contemplar la falla deliberada de equipos físicos.
