Ataque al frío de supermercados alcanza a Copeland y Dixell
El ciberataque que alteró la refrigeración de supermercados franceses es mayor de lo que se informó en un principio. Según la ANSSI, la agencia nacional de ciberseguridad de Francia, no solo se vieron afectados controladores de Danfoss, sino también equipos de Copeland y de su marca Dixell.
El CERT-FR, el equipo de respuesta a emergencias informáticas de la ANSSI, advirtió el 12 de octubre de numerosos compromisos de controladores de refrigeración Danfoss de las series AK-SM y AK-SC. Al día siguiente actualizó la alerta para incluir los sistemas Copeland XWEB y Dixell XWEB.
En un primer momento, Copeland no quiso confirmar las conclusiones de la agencia. Desde entonces ha reconocido una vulnerabilidad. "Estamos trabajando con los clientes afectados para mitigar el riesgo", ha señalado la empresa.
Aún no está claro cómo entraron los atacantes
El punto de entrada sigue sin conocerse. La alerta del CERT-FR no vincula los compromisos a ninguna vulnerabilidad concreta. Ni Danfoss ni las autoridades francesas han relacionado el ataque con los fallos que Claroty dio a conocer a principios de este año.
Este verano, Claroty publicó detalles de fallos en el controlador AK-SM 800A de Danfoss y de 23 vulnerabilidades en el controlador XWEB Pro de Copeland. Copeland las corrigió con una actualización de firmware.
Danfoss ha indicado que la mayoría de los dispositivos afectados son sistemas antiguos AK-SM 800 y AK-SC 355. Ambos han llegado al final de su vida útil y ya no reciben parches. El soporte del AK-SM 800 terminó en mayo de 2021 y el AK-SC 355 se dejó de fabricar en 2016. También se vieron comprometidos algunos controladores AK-SM 800A actuales porque funcionaban con firmware desactualizado.
Qué pide el CERT-FR a los operadores
La agencia ha pedido a los operadores de los controladores afectados que los desconecten de internet. El acceso remoto solo debe restablecerse a través de una VPN segura o de una red protegida. Filtrar las conexiones por dirección IP solo es aceptable como medida de emergencia temporal.
El CERT-FR también ha advertido de que restablecer los valores de fábrica no basta en los dispositivos comprometidos que han llegado al final de su vida útil. Si un equipo así sigue expuesto, continúa siendo vulnerable y probablemente volverá a verse comprometido.
Unas 700 tiendas francesas afectadas
Carrefour, Coopérative U, E.Leclerc, Intermarché y Monoprix han confirmado que se vieron afectados. El ministro de Finanzas, Roland Lescure, dijo el martes a los diputados que el ataque alcanzó a unos 700 de los cerca de 10.000 supermercados de Francia. Informaciones anteriores situaban la cifra entre 300 y 350.
Les Mousquetaires, el grupo propietario de Intermarché, ha señalado que unas 150 de sus tiendas se vieron afectadas. Allí, los equipos de refrigeración funcionaron a 50 grados Celsius durante seis horas y hubo que tirar todos los alimentos. Carrefour ha informado de 80 tiendas afectadas.
El consejero delegado de Coopérative U, Dominique Schelcher, ha explicado que 80 tiendas del grupo fueron objeto del ataque, aunque solo una minoría tuvo que desechar productos. Dos supermercados de Alsacia han comunicado pérdidas conjuntas de 270.000 euros (300.000 dólares).
La Fiscalía de París, cuya unidad de cibercrimen ha abierto una investigación, ha indicado que el ataque provocó incendios, además de pérdidas de alimentos. Según Le Monde, los atacantes alargaron los ciclos de descongelación de una hora a hasta ocho, lo que retrasó las alarmas.
Reuters, citando a una fuente conocedora de la investigación, ha informado de que los investigadores están desconcertados porque nadie ha reivindicado el ataque ni ha habido petición de rescate.
Más allá de Francia
Félix Aimé, de Sekoia, ha declarado a Reuters que también se vieron afectadas tiendas en España, Portugal, Polonia, Alemania y Bélgica, aunque no dio detalles. El NCSC neerlandés ha señalado que no cree que un ciberataque distinto contra Ahold Delhaize esté relacionado con los incidentes de refrigeración.
Censys contabilizó casi 3.000 paneles de control Danfoss StoreView expuestos a internet el 11 de octubre, más de 1.800 de ellos en Francia. A 14 de octubre, la cifra francesa había bajado a 537, mientras que en otros países apenas varió.
Las versiones parcheadas y sin parchear desaparecieron a un ritmo similar. Según Censys, esto indica que los operadores están desconectando los controladores en lugar de actualizarlos.
El incidente también ha planteado la cuestión de quién es el responsable. Según Bloomberg, Les Mousquetaires ha afirmado que Danfoss gestionaba los sistemas de refrigeración, por lo que corresponde al proveedor presentar una denuncia ante las autoridades.
Nuestra opinión
Este incidente muestra lo que ocurre cuando los equipos de gestión de edificios siguen conectados a internet durante años después de que el fabricante haya dejado de ocuparse de ellos. Gran parte del hardware afectado ha llegado al final de su vida útil, y parte de él se dejó de fabricar hace una década. El problema encaja en un patrón del que ya hemos hablado: los equipos heredados en las redes OT a menudo pasan desapercibidos y sin gestionar hasta que algo falla.
Los datos de Censys merecen atención. Una fuerte caída de los paneles expuestos en Francia, casi sin cambios en el resto, sugiere que los operadores de fuera de Francia quizá aún no se consideren en riesgo. Es preocupante, dado que hay informaciones de tiendas afectadas en varios otros países europeos. Desconectar los dispositivos es un primer paso sensato, pero no corrige la debilidad de fondo.
La falta de petición de rescate y la ausencia de reivindicación son inusuales. Dejan abierto el móvil, y los ciclos de descongelación más largos que retrasaron las alarmas sugieren que los atacantes entendían cómo se comportan estos sistemas. La disputa sobre la responsabilidad entre distribuidores y proveedores puede importar tanto como la respuesta técnica, porque los contratos de servicios gestionados pueden dejar poco claro a quién le corresponden los parches y la exposición.
Conviene estar atentos a si los investigadores vinculan el ataque con los fallos publicados por Claroty, a si aparecen más fabricantes en la alerta del CERT-FR y a si los reguladores presionan más para establecer normas sobre tecnología operativa. En Estados Unidos ya se ha instado a CISA a emitir una directiva vinculante sobre OT, y es probable que este caso dé más peso a ese tipo de peticiones.