Los congeladores de los supermercados europeos, hackeados de nuevo: controladores Danfoss puestos a 50°C en seis países

En la madrugada del 2 de noviembre, los gerentes de supermercados de toda Europa se despertaron con la misma alarma: sus congeladores se estaban calentando en lugar de enfriar. Hacia las 2:30 de la mañana, la gerente de un Delhaize en Eeklo, Bélgica, condujo hasta su tienda en la oscuridad para restablecer un sistema que había sido fijado en 50°C. En Sjöbo, en el sur de Suecia, el personal de un ICA Kvantum llegó y encontró aire caliente entrando en los congeladores sin forma de apagarlo; la tienda permaneció cerrada el lunes por la mañana. Al amanecer, la misma historia se había reportado en Bélgica, Luxemburgo, Suecia, Irlanda, Estonia y los Países Bajos, y Finlandia investigaba fallos similares. No era un corte de luz ni un termostato defectuoso. Era la segunda oleada del mismo ataque en tres semanas, y la advertencia que debería haberlo detenido ya se había emitido.

La primera oleada golpeó Francia la noche del 11 al 12 de octubre, cuando los atacantes tomaron el control remoto de la refrigeración de hasta 700 supermercados y tiendas independientes, dejándolos en descongelación continua durante unas seis horas. Intermarché dijo que entre 150 y 200 de sus tiendas resultaron afectadas, Coopérative U unas 80, Carrefour unas 80 y Monoprix unas 30, y la fiscalía de París dijo que los daños incluían incendios. El consejero delegado de Intermarché cifró las pérdidas en Francia en decenas de millones de euros en un solo día. El 12 de octubre, CERT-FR, el equipo de respuesta a emergencias informáticas del Gobierno francés, ordenó a todos los operadores de las familias de controladores afectadas que los desconectaran de internet o filtraran el acceso. Danfoss, el fabricante danés de los controladores comprometidos, envió su propia advertencia a los clientes el 13 de octubre. Tres semanas después, controladores que seguían siendo accesibles desde internet fueron atacados en al menos seis países más, y un portavoz de Danfoss en los Países Bajos dijo que los ataques podrían haberse evitado si las tiendas hubieran seguido esa advertencia.

El mecanismo es casi vergonzosamente simple, y por eso sigue funcionando. Cada tienda afectada gestiona su refrigeración desde un único controlador central: un panel que guarda las temperaturas programadas de cada vitrina y cámara frigorífica, programa los ciclos de descongelación y ofrece una interfaz web para que los contratistas ajusten el equipo a distancia. La descongelación normalmente calienta las bobinas del evaporador durante un breve periodo programado para eliminar el hielo. Los intrusos la encendieron y la dejaron funcionando, con un ajuste de hasta 50°C, de modo que los calentadores calentaron las vitrinas que debían proteger. Según un analista de la empresa francesa de seguridad Sekoia, los atacantes parecen no haber usado código malicioso en los propios controladores, lo que deja menos rastros para los investigadores. Los modelos señalados por Danfoss, el AK-SM 800 y el AK-SC 355, son los mismos dos atacados en Francia. Danfoss declaró el AK-SM 800 fin de vida en mayo de 2021 y retiró progresivamente el AK-SC 355 en 2016, y ninguno ha recibido una actualización de seguridad desde su retirada. En los Países Bajos, Danfoss dijo que parte del equipo atacado no estaba conectado a una red protegida y seguía usando sus contraseñas por defecto.

Lo que hace más difícil pasar por alto la segunda oleada que la primera es el patrón de los afectados. Las grandes cadenas aguantaron en su mayoría: Carrefour Bélgica dijo que 15 de sus más de 700 tiendas resultaron afectadas y todas siguieron abiertas, y la cadena sueca Coop dijo que siete de sus 800 tiendas sufrieron el ataque. El daño se concentró donde el sistema es más frágil: tiendas franquiciadas, tiendas fuera de la red central de una cadena, pequeñas carnicerías y tiendas de barrio. ICA dijo que el incidente afectó a un pequeño número de tiendas que usan un proveedor externo y se conectan fuera de su red central. Los fallos finlandeses se dieron en unidades fuera de la monitorización central de seguridad de la cadena Kesko. Un instalador belga dijo que una actualización de software por sí sola no cerraría la vulnerabilidad, porque las instalaciones necesitan modificaciones físicas que cuestan dinero. La protección más sencilla, gestionar los controladores a través de una conexión segura, es precisamente el paso que los pequeños operadores, cada uno con su propio contratista y su propio presupuesto, tardan más en dar.

Ningún grupo ha reivindicado ninguna de las dos oleadas, no se ha exigido ningún rescate y ninguna autoridad ha atribuido los ataques. Esa ausencia es en sí misma parte de la historia: investigadores de SentinelOne han señalado que los ataques de este tipo suelen estar vinculados a la extorsión, motivos políticos u operaciones estatales, y la ausencia de exigencias económicas apunta al sabotaje. Christophe Hansen, comisario europeo de Agricultura y Alimentación, calificó la segunda oleada de intento deliberado de perturbar el suministro alimentario de la UE y socavar la confianza pública, añadiendo que la seguridad alimentaria europea no corre riesgo en este momento. La fiscalía federal belga ha abierto una investigación penal. La tranquilidad sobre la seguridad alimentaria es cierta a escala continental y casi irrelevante a la escala que importa: un propietario al sur de Amberes encontró sus frigoríficos a 18°C y llamó a la policía, y un operador de Delhaize cifró su daño en no menos de 100.000 euros, sin contar las ventas perdidas.

Leo esto como una historia sobre infraestructuras escondidas a plena vista. La cadena de frío es uno de esos sistemas de los que todo el mundo depende y en los que nadie piensa hasta que fallan, y resulta que en miles de tiendas funciona con hardware retirado cuya interfaz web mira al internet abierto. La solución no es exótica: desconectar los controladores, ponerlos tras un cortafuegos o una VPN, sustituir hardware que el fabricante dejó de mantener hace años. Pero las soluciones aburridas necesitan que alguien las pague y que alguien se haga cargo de ellas, y en un sector minorista franquiciado y fragmentado, ese alguien a menudo no es nadie en particular. La primera oleada fue una advertencia. La segunda, que llegó tres semanas después de una advertencia pública de un equipo gubernamental de respuesta, es una prueba de cómo viajan las advertencias —o no— por un sistema sin un único propietario. Mi propia expectativa es que esto no ha terminado: con miles de sistemas expuestos todavía visibles desde internet y un método que ya ha funcionado dos veces, esperaría al menos una nueva oleada reportada públicamente antes de finales de marzo de 2027, a menos que la segunda oleada fuerce por fin las desconexiones que la primera no logró.