Intermarché tiró todo el género de 150 tiendas y 4.500 controladores Danfoss siguen en internet

Durante la noche, los atacantes tomaron el control remoto de los frigoríficos y congeladores de al menos 350 supermercados franceses, activaron el ciclo de desescarche y dejaron que la temperatura subiera hasta los 50 °C. En Intermarché, los frigoríficos de unos 150 establecimientos se mantuvieron a esa temperatura durante seis horas y hubo que tirar todos los productos que contenían. La puerta de entrada fue el dispositivo que controla los pasillos refrigerados de toda una tienda: un controlador Danfoss que los técnicos de refrigeración gestionan a través de internet.

Para los clientes, eso se tradujo en pasillos de congelados cerrados y en empleados de pleno centro de París vaciando carros enteros de carne descongelada y helados derretidos en enormes contenedores de basura. Para el resto, el problema va mucho más allá de Francia. Reuters utilizó el buscador Shodan y descubrió que, después del ataque, al menos 4.500 interfaces de Danfoss seguían visibles en internet. La empresa francesa de análisis de sistemas expuestos Onyphe señaló que solo una pequeña minoría parecía funcionar con el software más reciente.

Carrefour contabilizó 80 supermercados afectados y Monoprix, alrededor del 5 % de sus cerca de 490 establecimientos franceses. Coopérative U también sufrió el ataque, aunque su director ejecutivo, Dominique Schelcher, afirmó que la cadena de frío se mantuvo en la mayoría de sus tiendas afectadas gracias a la rápida reacción de empleados y técnicos. E.Leclerc indicó que habían atacado a uno de sus proveedores de equipos de refrigeración. La fiscalía de París informó de pérdidas de alimentos y de equipos que empezaron a arder. Thierry Cotillard, presidente de Les Mousquetaires, el grupo matriz de Intermarché, declaró a BFMTV que los daños ascenderían a «decenas de millones de euros en todo el país en un solo día».

Danfoss afirma que muchas de las unidades afectadas «habían llegado al final de su vida útil y ya no reciben actualizaciones de software ni de seguridad», mientras que otras «funcionaban con firmware obsoleto». La compañía señaló dos modelos antiguos, el AK-SM 800 y el AK-SC 355, retirados hace años, aunque también quedaron afectados algunos de sus actuales controladores AK-SM 800A, que utilizaban firmware antiguo. La agencia francesa de ciberseguridad, ANSSI, también ha mencionado software de Copeland y de su marca Dixell entre los sistemas afectados. Copeland reconoció la «vulnerabilidad» y declaró: «Estamos trabajando actualmente con los clientes afectados para mitigar el riesgo».

Los sistemas de refrigeración de los supermercados están conectados a internet por una razón muy sencilla: los técnicos pueden ajustar la temperatura, borrar alarmas y cambiar los ciclos de desescarche sin tener que desplazarse a la tienda. CERT-FR, el equipo gubernamental de respuesta ante emergencias, ha pedido a todos los operadores de controladores Danfoss AK-SM y AK-SC que los desconecten o restrinjan estrictamente quién puede acceder a ellos. Según AFP, Vincent Strubel, director de ANSSI, calificó de urgente tomar esa medida.

Por ahora, nadie sabe cómo entraron los atacantes ni por qué. Ningún grupo ha reivindicado el ataque ni se ha exigido un rescate, algo que ha desconcertado a los investigadores, según una fuente citada por Reuters. CERT-FR no ha señalado ninguna vulnerabilidad, versión de firmware ni indicio de compromiso que los operadores puedan comprobar, y las deficiencias que la empresa de ciberseguridad Claroty documentó en el AK-SM 800A no se han relacionado con el ataque. Los propietarios de los modelos más antiguos no tienen ningún parche que instalar: la solución real pasa por sustituir el equipo y comprar uno nuevo a través de los mismos técnicos que instalaron los antiguos. «Esto es una cuestión de higiene básica en ciberseguridad», afirmó Ken Munro, de Pen Test Partners. «Si se hace mal, acabas con un desastre maloliente de alimentos descongelados». Añadió que los atacantes lo habían tenido muy fácil y que los responsables podían ser perfectamente «unos chavales haciendo el tonto».

Puede que Francia no sea el único país afectado. Félix Aimé, analista de inteligencia sobre amenazas de Sekoia, declaró a Reuters que también se habían visto afectados España, Portugal, Polonia, Alemania y Bélgica, aunque no dio más detalles. ANSSI está en contacto con organismos de otros países europeos. En un incidente distinto, los servicios de compra de alimentación por internet de la cadena neerlandesa Ahold Delhaize quedaron fuera de servicio al mismo tiempo, pero el centro neerlandés de ciberseguridad, NCSC, no aprecia ninguna relación. Hay precedentes: a finales de agosto, se interrumpió de forma similar el funcionamiento de los frigoríficos de alrededor de una docena de economatos militares estadounidenses. Además, el boletín para clientes de Danfoss recoge ataques contra 16 supermercados rusos y 40 tiendas israelíes en 2022.

El ataque comenzó la noche del domingo 11 de octubre y CERT-FR publicó su alerta al día siguiente. Danfoss declaró obsoleto el AK-SM 800 en mayo de 2021 y dejó de comercializar el AK-SC 355 en 2016; Claroty publicó su investigación sobre el modelo más reciente el 9 de agosto. La sección de ciberdelincuencia de la fiscalía de París ha abierto una investigación, a cargo de la Oficina Anticiberdelincuencia (OFAC), para contabilizar a las víctimas y vincular cada pérdida con el ataque. Por su parte, la federación francesa del comercio minorista, FCD, ha pedido a Danfoss «transparencia total». Hasta que los investigadores averigüen cómo se produjo la intrusión, la medida más barata de la lista de CERT-FR no requiere ningún parche: desconectar el controlador de internet.

Etiquetas: Pelé, Cher, seguridad IoT, ciberataque, ANSSI, Carrefour