EEUU alerta de ciberataques a congeladores de supermercados

Qué pasó: la alerta conjunta de CISA y el FBI

El jueves, la agencia de ciberseguridad CISA, el FBI y los departamentos de Agricultura, Salud y Servicios Humanos y Transporte de Estados Unidos emitieron una declaración conjunta en la que advierten de una "amenaza cibernética en curso" contra unidades de refrigeración industrial. La advertencia no es teórica: los ataques ya alcanzaron congeladores y neveras de supermercados en varios países, bases militares estadounidenses y al menos un banco de sangre.

Según el comunicado, los atacantes están comprometiendo sistemas de refrigeración y de monitoreo de cadena de frío conectados a internet en tiendas de alimentación e instalaciones de almacenamiento en frío. El impacto toca infraestructura crítica: alimentación, agricultura, transporte y distribución de medicamentos.

El riesgo descrito por las agencias es físico, no solo digital. "Si se explotan con éxito, los actores podrían cambiar la temperatura y posiblemente causar impactos físicos como riesgos de incendio, pérdida de inventario y cambios en la vida útil del sistema", señala la declaración. En una hoja informativa separada, los departamentos añadieron que los hackers pueden intentar "forzar las unidades a ciclos continuos de calefacción y descongelación, lo que puede causar pérdidas generalizadas de inventario y peligros para los equipos".

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

"Toda organización que dependa de sistemas de refrigeración y monitoreo debería asumir que podría ser un objetivo", dijo Chris Butera, jefe interino de ciberseguridad de CISA.

Los ataques que precedieron a la alerta

La alerta llega después de varias oleadas de ciberataques contra unidades de refrigeración industrial en el Reino Unido y Europa en las últimas semanas. Dos oleadas distintas permitieron a los hackers subir la temperatura de congeladores y cámaras frigoríficas en al menos una docena de países, echando a perder comida descongelada y destruyendo producción agrícola.

Entre los sistemas afectados había unidades de refrigeración de control remoto fabricadas por la danesa Danfoss, que había dejado de enviar actualizaciones de seguridad a los congeladores de sus clientes.

El detalle de la segunda oleada, publicado por The Hacker News, muestra la escala: ataques en Bélgica, Suecia, Estonia, Irlanda, Países Bajos, Finlandia, Luxemburgo, Portugal, Italia y Alemania. En Bélgica, Delhaize reportó varias decenas de tiendas afectadas; Carrefour, 15 de más de 700; Intermarché, entre 10 y 15; IKEA, una tienda en Mons. En Suecia, Coop confirmó entre 6 y 7 de unas 800 tiendas. En Irlanda, Musgrave —dueña de SuperValu— reportó 13 de 223.

El costo se mide en mercancía. Un carnicero de Hove, al sur de Amberes, dijo a Reuters que sus neveras llegaron a 18 °C y que perdió unos 15.000 euros en carne.

La ola anterior fue peor. Según ACHR News, el ataque en Francia comenzó la noche del 11 de octubre y afectó a cadenas como Intermarché, Carrefour, Monoprix y Coopérative U. El ministro de Economía francés, Roland Lescure, dijo ante la Asamblea Nacional el 13 de octubre que unos 700 de los 10.000 supermercados del país habían sido afectados.

También hubo un banco de sangre en Francia: los atacantes lograron subir la temperatura de las unidades refrigeradas con sangre donada, pero fueron detenidos antes de comprometer las reservas. El Departamento de Defensa de Estados Unidos investiga una serie de ataques contra congeladores militares, según Reuters. Los ataques los reportaron primero Signal y Silence.

Por qué los controladores de frío son tan fáciles de atacar

La razón técnica es incómoda para cualquier founder que construya sobre hardware conectado. Los controladores de refrigeración son computadoras que gobiernan las neveras de una tienda y que se conectan a internet para que los contratistas de mantenimiento puedan monitorearlas y resolver fallas en remoto.

Según Facilities Dive, estos equipos son vulnerables en la medida en que usan protocolos de comunicación heredados como BACnet y Modbus, diseñados hace décadas sin seguridad en mente. "Estamos sentados sobre una bomba de tiempo", dijo Sean Tufts, CTO de campo de la firma de ciberseguridad Claroty, a ese medio tras el incidente francés.

El problema no es solo de protocolo, es de ciclo de vida. Ars Technica documentó que los controladores Danfoss usaban una credencial que cambia cada día y que se genera a partir de la fecha con firmware públicamente disponible: quien analice el código puede replicar la misma contraseña en cualquier dispositivo sin actualizar, y esas contraseñas diarias son idénticas entre modelos instalados en cientos o miles de tiendas.

A eso se suma la exposición. Una búsqueda con el escáner Shodan citada por Reuters a través de ACHR News identificó al menos 4.500 interfaces de control de refrigeración Danfoss accesibles desde internet. La firma francesa Onyphe señaló que solo una minoría parecía usar las versiones de software más recientes.

Y el inventario instalado es viejo. Danfoss reconoció que la mayoría de los equipos afectados en Francia eran modelos que ya no actualiza, los AK-SM 800 y AK-SC 355. El especialista en ciberseguridad Kevin Beaumont lo resumió así, citado por Facilities Dive: los congeladores impactados "son fin de vida y no tienen parche disponible. Se los dejó online para, literalmente, podrirse".

¿Quién está detrás de los ciberataques a congeladores?

Estados Unidos no atribuyó los ataques a un grupo o gobierno concreto, pero investigadores de seguridad los atribuyen de forma amplia a Irán, y funcionarios estadounidenses también sospecharían de ese país, según la información publicada por TechCrunch.

En Europa la cautela es mayor. El Centro de Ciberseguridad de Bélgica dijo que no se sabe quién orquestó los ataques y que "puede que nunca se determine", según The Hacker News. La fiscalía federal belga abrió una investigación penal.

La comisaria europea de Agricultura y Alimentación, Christophe Hansen, calificó las acciones como "un intento deliberado de interrumpir nuestra cadena de suministro alimentario y socavar la confianza de los consumidores en ella", según Facilities Dive.

Hay un factor adicional que menciona Katrien Eggers, portavoz del Centro de Ciberseguridad de Bélgica: la IA. En declaraciones a Reuters recogidas por Gizmodo, advirtió que "la IA ahora puede usarse para explotar con éxito estas debilidades, especialmente por actores sofisticados".

Qué significa esto para tu startup

Este no es un problema de supermercados. Es un problema de cualquier empresa que venda hardware con conectividad como parte de su propuesta de valor: sensores, cámaras, dispensadores, equipos médicos, maquinaria agrícola, cerraduras, medidores.

La lección más cara del caso Danfoss es que el modelo de negocio de "conectamos tu equipo para darte mantenimiento remoto" traslada al fabricante un riesgo que antes vivía en el cliente. Cuando el equipo sale de soporte y sigue online, el fabricante ya no responde por él, pero el ataque sí llega a su marca.

El segundo aprendizaje es que estos ataques no buscan rescate. Patrick Lamplmair, CTO de la firma austríaca Tributech, lo explicó a Gizmodo: "No hay datos que robar y no hay rescate que negociar. Unos pocos comandos a un controlador de temperatura destruyen el stock de la noche a la mañana y cierran tiendas". Si tu modelo de defensa asume ransomware, estás mirando el vector equivocado.

Dos acciones concretas que puedes ejecutar esta semana:

Inventaria todo lo que tienes expuesto a internet. No lo que crees que tienes: lo que realmente responde desde una IP pública. Usa un escaneo tipo Shodan sobre tu propio rango y compara con tu registro de dispositivos. Si aparece un controlador que nadie reconoce, ese es tu problema número uno.
Define una política de fin de vida con fecha y consecuencia. Para cada modelo que vendes, escribe cuántos años recibirá parches de seguridad y qué pasa el día que deje de recibirlos. Si la respuesta es "sigue funcionando igual", tienes el mismo pasivo que Danfoss.

Checklist técnico: qué recomiendan las agencias

La declaración conjunta de CISA, el FBI y los departamentos pidió a las industrias afectadas cuatro medidas inmediatas: sacar los sistemas de control remoto de internet, cambiar y reforzar contraseñas, aplicar parches donde sea posible y retirar el equipamiento que el proveedor ya no soporta.

La lista de mitigaciones que CISA publica y que recoge ACHR News añade capas útiles para cualquier equipo de operaciones:

Segmentar la red: separar la tecnología operativa (controladores de frío, PLC, sensores) de la red corporativa.
Acceso remoto solo por VPN con autenticación multifactor, nunca por IP pública directa.
Revisar la configuración completa, con atención especial a los calendarios de descongelación, que es el parámetro que manipularon los atacantes.
Monitorear tráfico anómalo y revisar periódicamente qué equipos siguen accesibles desde fuera.
Tener procedimiento manual: saber operar el equipo crítico sin el sistema de control conectado.

Un detalle que suele pasarse por alto: CERT-FR advirtió que un reset de fábrica no resuelve el problema. Elimina la intrusión, pero el equipo queda igual de vulnerable al siguiente ataque si vuelve a conectarse sin actualizar.

Conclusión

La alerta del jueves cierra un ciclo de tres semanas en el que un tipo de dispositivo que nadie miraba —el controlador de una cámara frigorífica— se convirtió en infraestructura crítica atacable. El patrón se repite en casi todos los sectores: equipos de bajo costo, con protocolos de los años ochenta, conectados a internet por comodidad operativa y sin nadie responsable de su ciclo de vida.

Para un founder, la pregunta relevante no es si Irán está detrás. Es cuántos dispositivos de su producto están hoy respondiendo en una IP pública con la contraseña que venía de fábrica.