Varias cadenas de supermercados europeas reportaron ayer problemas en sus sistemas de refrigeración y congelación, en una serie de incidentes informáticos que afectaron a establecimientos en Bélgica, Luxemburgo, Suecia, Irlanda y Estonia, y que reavivaron las preocupaciones sobre la vulnerabilidad de infraestructuras críticas conectadas a internet.
Cadenas de supermercados en al menos siete países europeos informaron de que las temperaturas de los frigoríficos y congeladores en algunas de sus tiendas se dispararon durante la noche hasta alcanzar los 50 °C (122 °F), lo que recuerda al ciberataque del mes pasado que causó daños por valor de millones de euros en Francia.
Ayer, comercios minoristas de Bélgica, Estonia, Irlanda, Finlandia, Luxemburgo, los Países Bajos y Suecia informaron de problemas con sus sistemas de refrigeración, y varias empresas confirmaron haber sido víctimas de ciberataques.
El comisario europeo de Alimentación y Agricultura, Christophe Hansen, afirmó que los repetidos ciberataques eran profundamente preocupantes, calificándolos de «un intento deliberado de perturbar nuestra cadena de suministro de alimentos y socavar la confianza de los consumidores en ella».
Estos incidentes se producen tras un ataque perpetrado el mes pasado en Francia, en el que piratas informáticos tomaron el control de las unidades de refrigeración de hasta 700 supermercados, elevando sus temperaturas hasta los 50 °C (122 °F) y provocando incendios y pérdidas de alimentos estimadas en decenas de millones de euros.
Cada vez es mayor la cantidad de dispositivos, incluidos los sistemas de refrigeración, que ahora pueden ser monitoreados y controlados de forma remota, lo que llevó a las autoridades a temer especialmente ataques híbridos patrocinados por el gobierno tras la invasión rusa de Ucrania en 2022.
La cadena sueca Coop declaró al diario Aftonbladet que seis de sus tiendas se habían visto afectadas, mientras que la ICA afirmó estar «al tanto de que un número limitado de tiendas se vieron afectadas por un incidente ocurrido durante la noche que impactó en sus sistemas de refrigeración y congelación».
Una tienda ICA en Sjöbo, al sur de Suecia, publicó que sus refrigeradores y congeladores habían sido pirateados y que su temperatura se había ajustado a 50 °C. Otra tienda en Estocolmo sostuvo que sus congeladores se habían averiado «debido a un ciberataque a las 2 de la madrugada» y que «todo quedó destruido».
El director del centro nacional de ciberseguridad de Suecia, John Billow, afirmó que estaban trabajando en incidentes ocurridos en todo el país. Según declaró a Reuters, habían constatado que el país contaba con «un número considerable de dispositivos de tecnología operativa expuestos» que necesitaban actualización o parcheo.
La cadena minorista holandesa Ahold Delhaize, que el mes pasado denunció un incidente similar a la policía de los Países Bajos, sostuvo que los refrigeradores y congeladores de docenas de sus supermercados en Bélgica y Luxemburgo habían sido afectados.
No se especificó la causa, pero los periodistas que visitaron una tienda al noreste de Bruselas vieron refrigeradores y congeladores vacíos y un cartel que decía: «Debido a ciberataques, no habrá productos en los estantes refrigerados ni en los congeladores. Les ofrecemos nuestras más sinceras disculpas».
Una portavoz de la empresa, Sarah De Meester, declaró que la variedad de productos frescos y congelados era «temporalmente algo limitada» en las tiendas afectadas, pero que los centros de distribución funcionaban con normalidad y que no había interrupciones en las entregas.
El periódico belga Le Soir informó que decenas de tiendas y supermercados se habían visto afectados, incluyendo cinco establecimientos Spar, tiendas de conveniencia Shop & Go anexas a las estaciones de servicio Q8 y algunos minimercados más pequeños de Proxy Delhaize.
«Empezamos a movilizar a los técnicos a la una de la madrugada», declaró al periódico Stephan Moelans, director ejecutivo de Sabcobel, la empresa que gestiona los sistemas de refrigeración de Delhaize. «Pasamos toda la noche y la madrugada desconectando las instalaciones afectadas».
Según declaró a la agencia de noticias Belga, el incidente había sido un ciberataque y los evaporadores de las unidades se habían puesto en modo de descongelación.
Las cadenas de supermercados Colruyt e Intermarché también informaron haber sufrido problemas técnicos que afectaron a los refrigeradores en cinco y quince de sus tiendas, respectivamente, y Carrefour Bélgica reportó interrupciones en aproximadamente 15 de sus 700 tiendas.
«Se trata de un ciberataque, no hay otra explicación», declaró Mich Vergauwen, portavoz de Carrefour. Un portavoz de Ikea Bélgica también confirmó a la Agencia France-Presse que un ciberataque había provocado un aumento repentino de la temperatura de los congeladores en su tienda de Mons.
Ikea, famosa por sus albóndigas suecas que se venden en sus tiendas, sostuvo que había tenido que retirar algunos productos alimenticios de las unidades de refrigeración como medida de precaución y que preveía cierto desperdicio de alimentos como resultado.
En Finlandia, el periódico Helsingin Sanomat informó que las tiendas de la cadena de supermercados Kesko estaban investigando problemas similares, mientras que la radio pública holandesa NOS informó que los sistemas de al menos 17 tiendas locales, en su mayoría pequeñas, se habían visto afectadas.
En una cadena de supermercados estonia, unos atacantes accedieron a un ordenador que controlaba el sistema de refrigeración y subieron la temperatura a 50 °C, según informó la empresa de suministro de refrigeración Kitman Coldtech a la emisora ERR.
«Esto es muy reciente, ocurrió esta mañana», declaró su director ejecutivo, Jann Mutso, agregando que el ataque fue respondido en cuestión de minutos y que no se produjeron daños significativos. La cadena de supermercados Selver informó que uno de sus establecimientos se vio afectado.
La tercera cadena de supermercados más grande de Irlanda, SuperValu, sostuvo que los sistemas de refrigeración limitados a un modelo específico en 13 de sus 223 tiendas se habían visto afectados por un incidente cibernético, y que los productos refrigerados y congelados habían sido retirados de la venta.
Muchos ciberataques implican extorsión o tienen motivaciones políticas y podrían ser perpetrados por actores estatales, afirmó Tom Hegel, de la empresa de ciberseguridad SentinelOne. Sin embargo, los ataques a supermercados, sin exigencias económicas, apuntan a un sabotaje, agregó.
«El sector minorista es un objetivo fácil porque las cadenas minoristas gestionan enormes parques de controladores de refrigeración, sistemas de gestión de edificios, paneles de acceso a puertas y equipos de punto de venta», declaró Hegel a Reuters.
Patrick Lamplmair, de la empresa de ciberseguridad Tributech, afirmó que los ciberatacantes seguirían atacando «hasta que el sistema deje de funcionar» porque el método era «barato y el daño era inmediato». Agregó que muchos sistemas de refrigeración presentaban fallos conocidos que aún no se habían corregido.
«Miles de estos controladores seguían accesibles desde internet tras el ataque francés», agregó. «Unos pocos comandos a un controlador de temperatura pueden destruir existencias de la noche a la mañana y provocar el cierre de tiendas».
En el ataque francés, los piratas informáticos piratearon controladores suministrados en su mayoría por la empresa danesa Danfoss, que posteriormente declaró haber identificado algunas fallas de seguridad el año pasado y haber recomendado «desde hace tiempo» a sus clientes que instalaran actualizaciones.
Los piratas informáticos modificaron de forma remota la configuración de miles de congeladores, refrigeradores y vitrinas refrigeradas en cadenas como Intermarché, Coopérative U, Carrefour, Leclerc y Monoprix, elevando su temperatura desde tan solo -27 °C hasta más de 50 °C.
Los comercios tuvieron que desechar grandes cantidades de carne fresca, productos lácteos y congelados. Según los informes, algunos supermercados sufrieron pérdidas que oscilaron entre decenas de miles de euros y más de 130.000 euros (109.000 libras esterlinas).
La fiscalía de París ha abierto una investigación formal sobre el ataque en Francia y el primer ministro, Sébastien Lecornu, ordenó a la agencia nacional de ciberseguridad francesa, Ansii, que investigue.
Posteriormente, la agencia informó que supermercados que utilizaban controladores de otras dos compañías también habían sido blanco del ataque, pero las autoridades no indicaron quién podría estar detrás de los incidentes. Nadie se atribuyó la responsabilidad. (The Guardian)