Decenas de supermercados de al menos siete países europeos amanecieron este lunes con parte de su mercadería arruinada. Un ciberataque disparó la temperatura de las cámaras frigoríficas y de los congeladores: en algunos locales los termómetros treparon hasta los 50 grados y, según reportes de la prensa belga, hubo equipos que llegaron a marcar 70. Los empleados se encontraron con charcos de agua, alarmas apagadas y comida descompuesta, y tuvieron que tirar toneladas de productos frescos y congelados.

Los problemas se registraron en Bélgica, Suecia, Países Bajos, Irlanda, Luxemburgo, Estonia y Finlandia. En Bélgica, la cadena Delhaize reportó unos 40 locales afectados, Carrefour 15 de sus más de 700 tiendas y también hubo problemas en tiendas Spar y en el grupo cárnico De Laet en Van Haver. En Suecia, ICA confirmó que un local de Sjöbo amaneció con los congeladores fijados a 50 grados y Coop reportó seis de sus 800 establecimientos; Ikea reconoció un incidente en su tienda de Mons. En Países Bajos, el fabricante Danfoss contó que al menos 17 empresas sufrieron ataques, entre ellas un depósito de congelados donde la temperatura pasó de 20 grados bajo cero a 10 grados bajo cero. Las pérdidas estimadas en Bélgica rondan los 100.000 euros, y algunos comercios hablaron de pérdidas de hasta 130.000 euros.



No es la primera vez. El 12 de octubre, un ataque similar había alcanzado a cientos de supermercados de Francia –Intermarché, Coopérative U, Carrefour, Leclerc y Monoprix, entre otros–, con temperaturas que pasaron de 27 grados bajo cero a más de 50, algunos conatos de incendio en los motores y pérdidas por decenas de millones de euros. La Comisión Europea advirtió entonces que se trataba de un intento deliberado de perturbar la cadena de suministro alimentario del bloque. Todavía no hay confirmación oficial sobre quién está detrás de ninguna de las dos oleadas.

¿Cómo puede pasar algo así? Lo primero que conviene aclarar es que no hackearon los sistemas de las cadenas de supermercados. El ataque apuntó a los controladores y supervisores de refrigeración comercial: las centralitas que gobiernan la temperatura, los ciclos de desescarche y las alarmas de cada mueble frigorífico del local.

Esos equipos se conectan a internet para que los técnicos puedan diagnosticar fallas y ajustar parámetros a distancia, sin tener que viajar a cada tienda. Las propias guías de instalación de los fabricantes explican cómo abrir ese acceso desde afuera, por ejemplo redirigiendo el tráfico del router del local hacia el controlador. El problema aparece cuando esa puerta queda abierta sin las protecciones adecuadas.

Según las investigaciones preliminares, los atacantes localizaron los equipos en la red pública con buscadores de dispositivos conectados como Shodan, aprovecharon fallas de autenticación y contraseñas predeterminadas de fábrica, y en varios casos entraron por redes de mantenimiento remoto desactualizadas que gestionan subcontratas locales de climatización. La mayoría de los equipos comprometidos en Francia eran controladores Danfoss AK-SM/AK-SC y Copeland/Dixell XWEB, y el mismo proveedor danés apareció otra vez entre los señalados este lunes.

Una vez adentro no hizo falta ningún malware sofisticado: los piratas usaron las funciones normales del sistema. Cambiaron la temperatura objetivo, desactivaron las alarmas de advertencia y, sobre todo, activaron y prolongaron el ciclo de desescarche, la resistencia que derrite la escarcha de los evaporadores. Al mantener ese calentamiento encendido durante horas, los equipos dejaron de enfriar y empezaron a largar aire caliente en lugar de frío.

El alcance del problema excede a los supermercados: una investigación de la firma de ciberseguridad Forescout publicada en octubre detectó casi 13.000 controladores de refrigeración accesibles abiertamente en internet en 99 países, desde supermercados hasta hospitales y granjas, muchos con software antiguo. En España se contabilizaron unos 300 equipos expuestos. Después del ataque francés, los investigadores advirtieron que miles de esas centralitas seguían siendo alcanzables desde la red, y que bastan unos pocos comandos para destruir el stock de una noche.

Danfoss aseguró que había identificado fallas de seguridad el año pasado y que desde entonces "recomendaba desde hace tiempo" instalar las actualizaciones, aunque los equipos más viejos ya no reciben parches. Desde Coop, en Suecia, señalaron otro punto débil: las tiendas afectadas estaban conectadas a una red móvil 4G y no al sistema 5G, lo que las volvía "más expuestas". Las cadenas afectadas desconectaron las instalaciones, resolvieron los incidentes y empezaron a reponer los productos. La advertencia que queda es incómoda: la cadena de frío que sostiene la comida de media Europa depende de dispositivos conectados que nadie está cuidando.