Curiosa noticia la de hoy, y es que esta semana Francia sufrió un ciberataque enfocado en las neveras de varios cientos de supermercados. Evidentemente, esto ahora ha demostrado hasta qué punto un equipo industrial conectado a Internet puede convertirse en un objetivo tan vulnerable. Y es que los atacantes consiguieron tomar el control remoto de las instalaciones frigoríficas de cadenas como Intermarché, Carrefour o E.Leclerc. Tras ello, modificaron las temperaturas de funcionamiento provocando la pérdida de grandes cantidades de alimentos frescos y congelados.
Lo más llamativo de todo, es que estos sistemas de refrigeración utilizan controladores conectados a internet. Esto puede tener sentido en base a que esto permite a los técnicos y empresas de mantenimiento supervisar de forma remota las temperaturas, alarmas y ciclos de funcionamiento. Al comprometer estos controles, los atacantes pudieron modificar la configuración de las cámaras y expositores frigoríficos, llegando en algunos establecimientos a provocar temperaturas cercanas a los 50 ºC mediante la manipulación de los ciclos de descongelación. El resultado fueron toneladas de comida tirada a la basura y pérdidas económicas millonarias.
Los hackers tomaron el control de los sistemas que gestionaban las neveras de al menos 350 establecimientos en Francia
El ataque en Francia se centró inicialmente en controladores de refrigeración de Danfoss que incluyen las neveras. Ahora bien, también sufrieron el ataque controladores de otras marcas como Copeland y Dixell. El CERT-FR (Equipo de Respuesta ante Incidentes de Seguridad Informática nacional y gubernamental de Francia), emitió una alerta específica en la que identifica como afectados los controladores Danfoss AK-SM y AK-SC, Copeland xweb y Dixell xweb. El organismo advierte además de que las campañas de ataques probablemente continúan activas. Es por ello que en Francia ahora se está monitorizando el funcionamiento de las neveras.
Estos dispositivos funcionan prácticamente como pequeños ordenadores industriales. Un controlador como el Danfoss AK-SM puede gestionar desde una única interfaz los circuitos frigoríficos de un establecimiento, establecer temperaturas, modificar horarios de funcionamiento, revisar alarmas o realizar tareas de mantenimiento. El problema es que muchos supermercados permiten acceder a estas interfaces directamente desde Internet para facilitar el mantenimiento remoto, convirtiéndolas en una puerta de entrada si el equipo utiliza software vulnerable o contraseñas deficientes.
De hecho, la empresa de ciberseguridad Claroty había publicado en agosto una investigación sobre el Danfoss AK-SM 800A donde descubrió varias vulnerabilidades graves. Entre ellas existía un mecanismo que permitía eludir la autenticación y otra vulnerabilidad capaz de permitir ejecución remota de código. Claroty llegó a localizar 2.765 controladores AK-SM 800A accesibles públicamente desde Internet durante su investigación. Danfoss corrigió esas vulnerabilidades mediante nuevas versiones de firmware. Ahora bien, como habrás podido imaginar, todo este equipamiento instalado no se actualizó para parchear las vulnerabilidades.
Miles de controladores siguen expuestos directamente a Internet
Danfoss ha señalado que buena parte de los equipos afectados habían llegado al final de su vida útil y ya no recibían actualizaciones de software o seguridad, mientras que otros utilizaban firmware desactualizado. Reuters comprobó además que, incluso después del ataque, permanecían visibles desde Internet al menos 4.500 interfaces de Danfoss. Una empresa francesa especializada en escaneo de Internet indicó que solo una pequeña parte parecía ejecutar las versiones de software más recientes.
La respuesta del CERT-FR ha sido tajante, y es que indicó que estos controladores no deberían tener sus interfaces de administración expuestas directamente a Internet. Para las instalaciones comprometidas recomiendó eliminarlas de direcciones IP públicas, restaurar completamente los dispositivos y permitir posteriormente el acceso únicamente mediante VPN o redes protegidas, además de actualizar el firmware, cambiar las contraseñas predeterminadas y activar los niveles de seguridad más restrictivos disponibles.
