A nadie se le habría ocurrido pensar que un frigorífico pudiera convertirse en un objetivo prioritario de los ciberdelincuentes. Los piratas informáticos solían perseguir datos bancarios, contraseñas o rescates millonarios. Ahora han descubierto que también pueden hacer mucho daño jugando con el termostato. Han conseguido que toneladas de alimentos terminen en la basura y, en su última incursión, han puesto en peligro reservas de plasma destinadas a salvar vidas. Sin entrar en un hospital ni acercarse a una cámara frigorífica.
El episodio más inquietante se produjo durante la madrugada del 1 al 2 de noviembre en Francia. Los sistemas de refrigeración de tres instalaciones del Establecimiento Francés de Sangre (EFS), organismo público encargado de las donaciones y transfusiones, sufrieron una intrusión informática. Los atacantes lograron modificar a distancia los parámetros de temperatura y descongelación de las cámaras donde se conservaban bolsas de plasma.
Según reveló Le Canard Enchaîné, intentaron cambiar la temperatura programada de 30 grados bajo cero a 110 grados positivos. Una cifra disparatada que habría arruinado las reservas si los equipos hubieran llegado a alcanzarla. Se trató de una modificación de los controles, no de una temperatura realmente registrada por los productos.
Esta vez las alarmas funcionaron. Los responsables detectaron las anomalías y trasladaron parte de las existencias. El Ministerio de Sanidad francés confirmó que no se perdió ningún producto sanguíneo ni hubo consecuencias sanitarias o interrupciones en las donaciones y la distribución hospitalaria.
El susto, sin embargo, ha revelado una vulnerabilidad más grave que la pérdida de alimentos. El plasma se destina a transfusiones y medicamentos, y una interrupción prolongada de su conservación podría haber comprometido tratamientos. “El procedimiento capaz de arruinar un cargamento de pescado congelado también puede amenazar productos sanitarios difíciles de reemplazar de inmediato”, avanza José Manuel de la Puente, jefe de ciberseguridad de VASS Consultoría de Sistemas
Por dónde entra el enemigo
En el caso de los bancos de sangre, los delincuentes no necesitan acceder directamente a la red informática del organismo sanitario. El ataque afectó a la tecnología de un proveedor externo de refrigeración. La empresa Coolworld reconoció un incidente relacionado con un componente informático de un tercero y aseguró que solo afectó a unas pocas unidades. “Los refrigeradores industriales incorporan ordenadores, sensores y conexiones que permiten detectar averías y modificar su funcionamiento a kilómetros de distancia. Esa comodidad también abre una vía de entrada cuando existen programas desactualizados, contraseñas débiles o paneles de administración expuestos a Internet”, explica De la Puente.
Los especialistas recomiendan restringir los accesos remotos, proteger las conexiones y disponer de alarmas independientes que permitan reaccionar aunque falle el sistema principal.
Detrás de estas vulnerabilidades, según señala el De la Puente, hay un cambio que afecta a las infraestructuras esenciales: “La unión de las tecnologías de la información (IT), que gestionan datos y comunicaciones, con las tecnologías operativas (OT), que controlan máquinas y procesos físicos. Antes estaban separadas; hoy se conectan para ganar eficiencia. Si no existe una protección adecuada, un intruso que roba una contraseña o compromete un ordenador puede alcanzar los controles de una instalación”. De manera que una intrusión informática puede paralizar una fábrica, interrumpir un servicio o poner en riesgo el funcionamiento de un hospital.
De los supermercados a los hospitales
El 11 y 12 de octubre comenzó una oleada contra cámaras frigoríficas de supermercados franceses que, según las informaciones publicadas, afectó a centenares de establecimientos. Los intrusos alteraron las temperaturas, activaron la descongelación y provocaron pérdidas de mercancía y daños en algunos equipos.
El 1 y 2 de noviembre llegó una segunda oleada a Bélgica, Luxemburgo, Suecia, Irlanda, Países Bajos, Finlandia y Estonia, entre otros países. Cadenas como Carrefour, Delhaize, ICA, Coop y SuperValu notificaron incidencias. En algunos establecimientos, los empleados encontraron las cámaras demasiado calientes para conservar los productos y tuvieron que destruir las existencias. El grupo Ahold Delhaize anunció el 4 de noviembre que el incidente de ciberseguridad sufrido en octubre podría reducir sus ventas del cuarto trimestre entre 200 y 250 millones de euros y su beneficio operativo entre 75 y 100 millones.
Aunque no se ha demostrado que todos los ataques estén conectados o tengan los mismos autores, comparten la manipulación de sistemas industriales para causar daños físicos sin pisar las instalaciones. Y el salto de los supermercados a los bancos de sangre aumenta las consecuencias potenciales.
España, tercera en exposición
España no figura por ahora entre los países con ataques confirmados en esta oleada. Pero sí aparece entre los más expuestos. Un análisis difundido el 3 de noviembre por Check Point Software Technologies la sitúa en tercera posición mundial por número de interfaces de refrigeración comercial accesibles desde Internet. Concentra el 8,4 % de las identificadas, frente al 31,2 % de Francia y el 8,6 % de Estados Unidos.
Son sistemas visibles en Internet que requieren vigilancia. Fuentes de la distribución española han explicado que aquí es menos habitual externalizar el control remoto de refrigeradores mediante plataformas centralizadas. Eso puede limitar el alcance de un ataque simultáneo, pero no impedir una intrusión en un establecimiento concreto.
En el sector sanitario queda por saber qué tecnologías utilizan hospitales, bancos de sangre y laboratorios españoles, y qué mecanismos independientes protegen sus cámaras. La cadena de frío sanitaria tiene mucho menos margen para los imprevistos que un almacén comercial.
Una amenaza sin firma
La Comisión Europea, Europol y ENISA, la agencia europea de ciberseguridad, difundieron el 4 de noviembre un comunicado conjunto que pedía medidas inmediatas de protección y anunciaba una respuesta coordinada. “La autoría sigue sin esclarecerse. Ni se ha confirmado un único grupo responsable ni que los incidentes formen parte de una operación organizada. A diferencia de los ataques que exigen un rescate, aquí la notoriedad y la demostración de poder parecen ser los objetivos inmediatos”, observa De la Puente.
No duda que lo sucedido con los supermercados y los bancos de sangre europeos puede ser un aviso de hasta dónde son capaces de llegar los ciberdelincuentes. “Lo que hoy es una cámara frigorífica mañana puede ser una central eléctrica, una depuradora de agua, una red ferroviaria o el sistema que mantiene con vida a un paciente en un hospital”, reflexiona el experto. Cuanto más conectados están los servicios esenciales, más oportunidades encuentran los atacantes para convertir una intrusión informática en una emergencia real.