Un frigorífico en Internet, un drama familiar: en Francia destrozan masivamente congeladores industriales.

El ciberataque a los frigoríficos de los supermercados franceses resultó ser más amplio de lo estimado inicialmente. Las autoridades confirmaron la intrusión en equipos de cuatro series de Danfoss, Copeland y Dixell. Alrededor de 700 tiendas resultaron afectadas y los atacantes podrían seguir operando.

El servicio francés CERT-FR alertó el 12 de octubre sobre numerosas intrusiones en controladores Danfoss AK-SM y AK-SC. Al día siguiente se añadieron a la lista Copeland XWEB y Dixell XWEB. Se trata de dispositivos que regulan de forma remota el funcionamiento de las instalaciones frigoríficas, supervisan la temperatura y controlan las descongelaciones.

Según el ministro de Finanzas de Francia, Roland Lescure, el ataque afectó a cerca de 700 de los aproximadamente 10 000 supermercados del país. Anteriormente se estimaba entre 300 y 350 tiendas. Entre las afectadas figuran las cadenas Carrefour, Coopérative U, E.Leclerc, Intermarché y Monoprix. La investigación está a cargo de la unidad de la fiscalía de París para la lucha contra la ciberdelincuencia.

En la cadena Intermarché la avería afectó a alrededor de 150 tiendas. Allí los frigoríficos se calentaron hasta 50 °C y permanecieron calientes durante seis horas, por lo que hubo que tirar los alimentos. Carrefour confirmó problemas en 80 puntos de venta. En dos supermercados de Alsacia las pérdidas totales se estimaron en 270 000 euros y la fiscalía mencionó casos de incendios.

Según la información publicada, los atacantes aumentaban la duración de los ciclos de descongelación de una hora hasta ocho, retrasando la activación de las alarmas. Los controladores, que deberían evitar el deterioro de los alimentos, se convirtieron en instrumentos del ataque. Aún no se ha identificado a los responsables, y no se han registrado demandas de rescate ni reivindicaciones de autoría.

La empresa Danfoss precisó que la mayor parte de los equipos afectados pertenecen a los obsoletos AK-SM 800 y AK-SC 355. El soporte del primero se interrumpió en 2021 y del segundo en 2016. Entre los afectados también hay modelos más recientes AK-SM 800A con firmware obsoleto. Copeland también reconoció la existencia de una vulnerabilidad y afirmó que ayuda a los clientes a mitigar los riesgos.

El verano pasado, los investigadores de Claroty describieron vulnerabilidades en Danfoss AK-SM 800A y 23 problemas de seguridad del controlador Copeland XWEB Pro. Los fabricantes publicaron correcciones para los dispositivos con soporte. Pero por ahora nadie ha confirmado que los atacantes hayan usado exactamente las vulnerabilidades encontradas, y la vía exacta de intrusión sigue siendo desconocida.

En la advertencia de CERT-FR a los propietarios se les aconseja retirar las interfaces de gestión de Internet abierto, revisar los horarios de descongelación y permitir el acceso remoto solo a través de una red segura o VPN. Se recomienda restablecer a la configuración de fábrica los controladores comprometidos y configurarlos de nuevo. Para los dispositivos sin soporte, un restablecimiento no es suficiente.

La magnitud del problema también se aprecia por los puertos abiertos. Según los cálculos de Censys, el 11 de octubre había en Internet casi 3000 paneles Danfoss StoreView, más de 1800 de ellos en Francia. Para el 14 de octubre el número de paneles accesibles en Francia se redujo a 537. Por la dinámica, los propietarios desconectaron sobre todo los equipos de la red en lugar de actualizar el firmware.