4,500 controladores Danfoss siguen expuestos tras el hackeo a refrigeradores en Francia

Durante la noche, atacantes tomaron el control remoto de los refrigeradores y congeladores de al menos 350 supermercados franceses, activaron el modo de descongelación y dejaron que la temperatura subiera hasta 50 °C (122 °F). En Intermarché, los refrigeradores de unos 150 locales se mantuvieron así durante seis horas y hubo que desechar todos los productos que contenían. La puerta de entrada fue el equipo que controla los pasillos refrigerados de una tienda entera: un controlador Danfoss que los técnicos de refrigeración administran por internet.

Para los clientes, eso significó pasillos de congelados cerrados y empleados en el centro de París arrojando carritos llenos de carne descongelada y helado derretido en enormes contenedores de basura. Para el resto, el problema va mucho más allá de Francia. Mediante el buscador Shodan, Reuters encontró al menos 4,500 interfaces de Danfoss que seguían visibles en línea después del ataque; la empresa francesa de escaneo Onyphe dijo que solo una pequeña minoría parecía tener el software más reciente.

Carrefour contabilizó 80 supermercados afectados y Monoprix, alrededor del 5 % de sus cerca de 490 tiendas en Francia. Coopérative U también fue afectada, aunque su director ejecutivo, Dominique Schelcher, dijo que la cadena de frío se mantuvo en la mayoría de sus locales afectados porque el personal y los contratistas reaccionaron con rapidez. E.Leclerc informó que habían atacado a uno de sus proveedores de refrigeración. La fiscalía de París reportó pérdidas de alimentos y equipos que comenzaron a incendiarse, y Thierry Cotillard, presidente de Les Mousquetaires, el grupo matriz de Intermarché, dijo a BFMTV que los daños ascenderían a «decenas de millones de euros en todo el país en un solo día».

Danfoss afirma que muchas de las unidades atacadas habían «llegado al final de su vida útil y ya no reciben actualizaciones de software ni de seguridad», mientras que otras «tenían instalado firmware obsoleto». La empresa señaló dos modelos antiguos, el AK-SM 800 y el AK-SC 355, retirados hace años; también se vieron afectados algunos de sus controladores AK-SM 800A actuales que usaban firmware antiguo. La agencia nacional de ciberseguridad de Francia, ANSSI, también mencionó software de Copeland y de su marca Dixell entre los sistemas afectados. Copeland reconoció la «vulnerabilidad» y afirmó: «Actualmente estamos trabajando con los clientes afectados para mitigar el riesgo».

La refrigeración de los supermercados está conectada a internet por una razón práctica: así, los contratistas pueden ajustar temperaturas, borrar alarmas y cambiar los ciclos de descongelación sin tener que ir a la tienda. CERT-FR, el equipo gubernamental de respuesta a emergencias, indicó a todos los operadores de controladores Danfoss AK-SM y AK-SC que los desconecten o restrinjan estrictamente quién puede acceder a ellos. Según AFP, Vincent Strubel, director de ANSSI, calificó esa medida de urgente.

Lo que todavía nadie puede decir es cómo entraron los atacantes ni por qué lo hicieron. Ningún grupo se ha atribuido el ataque y tampoco se ha exigido un rescate, algo que ha desconcertado a los investigadores, según una fuente citada por Reuters. CERT-FR no ha señalado ninguna vulnerabilidad, versión de firmware ni indicio de intrusión que los operadores deban buscar; tampoco se ha vinculado el ataque con las fallas que la empresa de ciberseguridad Claroty documentó en el AK-SM 800A. Los dueños de los modelos más antiguos no tienen ningún parche que instalar, así que la solución real es comprar equipos nuevos a los mismos contratistas que instalaron los anteriores. «Esto tiene que ver con la higiene cibernética básica», dijo Ken Munro, de Pen Test Partners. «Si se hace mal, terminas con un desastre maloliente de comida descongelada». Añadió que los atacantes encontraron la puerta abierta y que los responsables bien podrían ser «chicos haciendo travesuras».

Es posible que Francia no sea el único país afectado. Félix Aimé, analista de inteligencia sobre amenazas de Sekoia, dijo a Reuters que también hubo incidentes en España, Portugal, Polonia, Alemania y Bélgica, aunque no dio detalles. ANSSI está en contacto con agencias de otros países europeos. Al mismo tiempo, otro incidente dejó fuera de servicio los servicios de supermercado en línea de la minorista neerlandesa Ahold Delhaize, pero el centro neerlandés de ciberseguridad NCSC no ve ninguna relación. Hay antecedentes: a finales de agosto, se interrumpió de manera similar el funcionamiento de los refrigeradores de una docena de tiendas militares en Estados Unidos, y el boletín para clientes de Danfoss registra ataques contra 16 supermercados rusos y 40 tiendas israelíes en 2022.

El ataque comenzó la noche del domingo 11 de octubre y CERT-FR publicó su alerta al día siguiente. Danfoss declaró obsoleto el AK-SM 800 en mayo de 2021 y dejó de fabricar el AK-SC 355 en 2016, mientras que Claroty publicó su investigación sobre el modelo más nuevo el 9 de agosto. La unidad de ciberdelincuencia de la fiscalía de París abrió una investigación, a cargo de la Oficina de Lucha contra la Ciberdelincuencia (OFAC), para contar a las víctimas y vincular cada pérdida con el ataque. Por su parte, la federación francesa de comercio FCD pidió a Danfoss «transparencia total». Hasta que los investigadores descubran cómo se produjo la intrusión, la medida más barata de la lista de CERT-FR no requiere ningún parche: desconectar el controlador de internet.

Etiquetas: Pelé, Cher, seguridad IoT, ciberataque, ANSSI, Carrefour