Cientos de tiendas vaciando sus cámaras de frío

En la noche del 11 al 12 de octubre, neveras y congeladores de cientos de supermercados franceses llegaron a 50 °C . Las tiendas tuvieron que vaciar sus cámaras y tirar el producto.

El lunes 2 de noviembre llegó una segunda oleada. Bélgica, Luxemburgo, Suecia, Irlanda y Estonia aparecen en los dos recuentos que he cotejado, y cada uno añade un país distinto: Países Bajos en uno , Finlandia en otro . Los autores siguen sin identificar, y la alerta del CERT-FR avisa de que las campañas probablemente continúan.

El coste todavía no tiene una cifra clara. Un grupo afectado esperaba varios millones de euros de pérdidas en unas 180 tiendas, mientras que un resumen de INCIBE-CERT citado por la prensa especializada habla de decenas de millones en Francia. Con los daños físicos pasa algo parecido: ese grupo informó de humo, pero no de fuegos, y el resumen menciona pequeños incendios.

Por qué un controlador de frío es OT

Un controlador de refrigeración lee sensores, decide cuándo descongelar y actúa sobre equipos reales. Es la misma lógica que un PLC en una planta: si alguien cambia sus parámetros, la consecuencia ocurre en el mundo físico. Aquí, producto perdido, tienda cerrada y un problema de seguridad alimentaria.

Lo que cambia es cómo llega a la empresa. Es fácil que entre como parte del servicio de frío, con el mantenimiento incluido, y no como un proyecto de sistemas. Por eso la primera prueba es sencilla: busca tus controladores en el inventario de activos. Si no están, o están sin versión de firmware y sin responsable, ya sabes dónde empezar.

Qué se sabe de la entrada

La alerta francesa no cita ningún CVE ni detalla cómo se entró en cada caso. Lo publicado apunta a un problema de higiene básica:

  • Exposición directa. El CERT-FR recuerda que exponer una interfaz de gestión en Internet va contra las buenas prácticas. Uno de los fabricantes afectados afirma que todas las unidades atacadas que conocía estaban conectadas a Internet sin VPN ni cortafuegos .
  • Firmware y contraseñas. El centro belga de ciberseguridad señala, según la misma crónica, firmware sin actualizar y contraseñas de fábrica que nadie había cambiado.
  • Equipos sin soporte. Parte de los modelos afectados ya no se vende, uno de ellos desde 2016.
  • Terceros. Un grupo afectado explicó que el ataque alcanzó a un proveedor que gestiona la refrigeración de algunas de sus tiendas. Es un caso concreto, no un vector demostrado para toda la campaña, pero basta para hacerse la pregunta.

Hay un dato que invita a pensar. El número de interfaces expuestas de un solo fabricante en Francia cayó de 1.825 a 220 desde el primer ataque, mientras que en Bélgica seguían visibles 138, en Países Bajos 51 y en Suecia 50. Casi toda esa exposición se pudo retirar en menos de un mes.

En España, a 4 de noviembre, no constaba ningún caso confirmado , aunque una información de octubre sí citaba a España entre los países afectados. Un analista ha localizado más de 300 dispositivos accesibles desde la red , y él mismo insiste en el matiz: expuesto no significa vulnerable. Tampoco significa que puedas dejarlo así.

Por dónde empezar esta semana

1. Haz la lista

Por cada tienda o almacén: marca y modelo del controlador, versión de firmware, fecha de fin de soporte, cómo se conecta y quién accede. La alerta del CERT-FR enumera las marcas y series afectadas, pero no te quedes solo con esas: revisa también climatización y gestión del edificio.

2. Mira desde fuera

Comprueba qué responde en tus direcciones públicas, siempre sobre rangos propios y con autorización: 

          nmap -Pn -sV -p 80,443,8080,8443 <tu-rango-publico>

Esos puertos son un primer barrido, porque una interfaz puede estar en otro. Si tienes margen, repite con -p- . Y recuerda el punto ciego: un router o una SIM instalados por el mantenedor no aparecerán en tus rangos. Eso solo lo sabrás preguntándole.

3. Habla con el mantenedor antes de cortar

El CERT-FR pide retirar de Internet todas las unidades con IP pública y restablecer el acceso solo por VPN segura o red protegida. También añade un detalle práctico que se olvida con facilidad: revisar las condiciones del seguro antes de cortar el envío de datos al proveedor de frío. En una urgencia admite filtrar por IP de origen en el cortafuegos, pero deja claro que no es una solución duradera.

4. Revisa la configuración y decide qué hacer con lo antiguo

La alerta pide comprobar toda la configuración, en especial los rangos de descongelación. Compáralos con un valor documentado y, si no lo tienes, créalo ahora. Si un equipo está comprometido, sigue el procedimiento de la alerta y reconfigúralo antes de volver a ponerlo en servicio.

En un equipo sin parches, la advertencia es directa: restaurar de fábrica elimina la persistencia, pero el equipo sigue vulnerable y lo más probable es que vuelvan a entrar. Si no puede salir de Internet ni actualizarse, necesita fecha de sustitución y presupuesto.

5. Pon una alarma que no dependa del controlador

Esto no aparece en la alerta; es recomendación mía. Si el atacante controla el equipo que vigila la temperatura, no te fíes solo de ese equipo para enterarte. Una sonda independiente que avise a una persona, y un procedimiento que diga quién mueve el producto y quién puede operar en local sin red, limitan el daño aunque la prevención falle.

Qué dejar por escrito con el mantenedor

Gran parte de esto se resuelve en un contrato, no con una herramienta:

  • ¿Quién accede, desde dónde y con qué autenticación? ¿Las cuentas son individuales o compartidas?
  • ¿Quién cambia las contraseñas por defecto y quién lo comprueba?
  • ¿Quién actualiza el firmware, en qué plazo y quién avisa cuando un equipo se queda sin soporte?
  • ¿Hay routers o SIM propios del proveedor en la tienda?
  • ¿En cuánto tiempo te avisa de un incidente, y a quién llama de madrugada?

Si trabajas con ISO 27001, aquí encajan los controles de proveedores (A.5.19 a A.5.22), el inventario de activos (A.5.9) y la segregación de redes (A.8.22). Si tu referencia es IEC 62443, la parte 2-4 cubre los requisitos a proveedores de servicio y la 3-2 te da la partición en zonas y conductos. Una red de frío separada del resto, con un único conducto vigilado para el mantenimiento, es un buen primer diseño.

Si fabricas estos equipos

Un parque instalado que dura más que su soporte es también un problema tuyo. Decide cuánto soportas cada modelo y comunícalo, entrega los equipos sin contraseñas comunes y publica una guía de despliegue que no pase por una IP pública. Si además vendes en la UE, revisa las obligaciones de notificación que ya conté en este artículo sobre el CRA .

Una prueba para esta semana

Si esta noche tus neveras empiezan a descongelar a las tres de la mañana, ¿quién se entera, cuánto tarda y quién puede pararlo sin pasar por Internet? Si no tienes las tres respuestas, ya tienes la primera tarea.