Síntesis
El ciberataque que alteró los refrigeradores de supermercados en Francia afectó a más equipos y tiendas de lo informado inicialmente. Las autoridades ampliaron la lista de controladores comprometidos y recomendaron desconectarlos de internet, mientras la investigación sigue sin identificar a los responsables.
- La alerta oficial francesa ya incluye equipos de Danfoss, Copeland y Dixell.
- Unos 700 de los cerca de 10.000 supermercados de Francia fueron afectados.
- Muchos de los equipos atacados eran modelos antiguos que ya no reciben actualizaciones de seguridad.
- Hasta ahora, nadie se ha atribuido el ataque ni ha pedido un rescate.
Noticia
El CERT-FR, equipo de respuesta a incidentes de la Agencia Nacional de Ciberseguridad de Francia (ANSSI), alertó el 12 de octubre sobre numerosas intrusiones en controladores de refrigeración de las series AK-SM y AK-SC del fabricante danés Danfoss. Al día siguiente amplió la alerta a los sistemas XWEB de Copeland, empresa estadounidense, y de su marca italiana Dixell.
El ataque —informado en este blog la semana pasada— también es más amplio de lo que se informó al principio. El ministro de Finanzas francés, Roland Lescure, en declaraciones recogidas por el medio SecurituyWeek, dijo a los parlamentarios que fueron afectados unos 700 de los cerca de 10 mil supermercados del país, el doble de las estimaciones iniciales. Entre las cadenas afectadas están Carrefour, Coopérative U, E.Leclerc, Intermarché y Monoprix.
En unas 150 tiendas de la cadena Intermarché, los refrigeradores funcionaron a 50 °C durante seis horas y todos los alimentos fueron desechados. Dos supermercados de Alsacia reportaron pérdidas por 270 mil euros. Según el medio Le Monde, los atacantes extendieron los ciclos de descongelación de una a hasta ocho horas, lo que retrasó las alarmas.
En un supermercado cercano a Burdeos, que usa equipos Dixell, los atacantes cambiaron la temperatura de un congelador de -22 °C a 150 °C. Un técnico observó que se modificaban varios parámetros por segundo, lo que sugiere un ataque automatizado.
El fabricante danés Danfoss señaló a la agencia de noticias Reuters que la mayoría de los equipos afectados son modelos antiguos que “ya no reciben actualizaciones de software ni de seguridad. La compañía dejó de dar soporte al AK-SM 800 en mayo de 2021, y el AK-SC 355 se descontinuó en 2016. También fueron atacados algunos controladores AK-SM 800A más recientes que no tenían el firmware al día.
De acuerdo con declaraciones recogidas por el medio especializado SecurityWeek, Copeland reconoció la existencia de una vulnerabilidad. “Actualmente trabajamos con los clientes afectados para mitigar el riesgo”, señaló la empresa.
Las fallas en estos equipos se conocían desde antes. En agosto, la empresa de seguridad industrial Claroty detalló tres vulnerabilidades en el Danfoss AK-SM 800A, entre ellas un acceso oculto que permitía entrar como administrador sin contraseña, y 23 en el XWEB Pro de Copeland. Ambas compañías las corrigieron, pero las autoridades no han vinculado el ataque a ninguna falla específica.
Según la empresa de análisis de internet Censys, el 11 de octubre había 1.825 paneles de control Danfoss expuestos en Francia, y al 14 de octubre quedaban 537. Los equipos actualizados y los vulnerables desaparecieron al mismo ritmo, lo que indica que los operadores los están desconectando en lugar de actualizarlos.
El CERT-FR pidió retirar estos equipos de internet y permitir el acceso remoto solo mediante una VPN segura o una red protegida. También advirtió que restaurar de fábrica un equipo sin soporte no basta, ya que seguirá siendo vulnerable. “Probablemente aún hay campañas de ataque en curso dirigidas a estos equipos”, señaló la entidad.
La unidad de cibercrimen de la fiscalía de París investiga el caso. Según una fuente citada por la agencia de noticias Reuters, a los investigadores les desconcierta que nadie se haya atribuido el ataque ni haya exigido un rescate.
