Atacantes tomaron el control del software que gestiona la refrigeración de supermercados en Francia e hicieron que las cámaras frías se calentaran y permanecieran calientes. Daño físico en la cadena de alimentos, sin robo de datos.
Los números, según la BBC: cerca de 400 de 15.000 tiendas afectadas, con Intermarché y Netto sumando 180 tiendas más 100 desconectadas a las apuradas. Coopérative U perdió más de 100, Carrefour 80 de 6.000, y Monoprix 5%. Las cámaras quedaron a 50 grados por seis horas durante la madrugada. Dos tiendas en Alsacia perdieron 270 mil euros sumadas, y el total nacional se espera en el orden de los millones.
El detalle que cambia la categoría del riesgo
El acceso fue por el software de Danfoss, que controla la refrigeración de forma remota. Y la frase que interesa es la que la BBC atribuye a la empresa: los equipos afectados eran modelos antiguos cuya actualización de seguridad no era posible frente a un riesgo que ya había sido identificado.
No faltó alerta: faltó un camino de corrección para el equipo que estaba en uso. El riesgo había sido identificado, el patch no existía para el modelo, y el activo siguió encendido, con control remoto expuesto, porque la operación dependía de él.
La cadena de frío ya había sido advertida
No es el primer caso de la categoría: el ataque a Nichirei que paró la cadena de KFC en Japón y el caso Fairlife, del grupo Coca-Cola, con Anubis dibujaron la mecánica en la cold chain global. La diferencia del caso francés es el grado: ni hizo falta ransomware. El control remoto del equipo bastó para el daño físico.
Y la respuesta institucional subió de nivel: el comisario europeo de Alimentación, Christophe Hansen, registró que el uso de la comida como arma se volvió realidad, y el Ministerio Público de París abrió una investigación de ciberdelito llamando al caso un ataque a gran escala contra la refrigeración de grandes cadenas.
La auditoría que el caso impone
La pregunta es una sola y vale para la industria, el comercio minorista, la salud y la logística: cuánto de su parque operacional está en un modelo que el propio fabricante no puede actualizar?
Esa lista, y no la de alertas del antivirus, es la que determina dónde va a nacer el próximo incidente. Para cada ítem de ella, el diseño es de compensación: segmentación de red, VPN en el acceso remoto, alarma local independiente del software, failsafe térmico en el equipo y un plan de respuesta que incluya daño físico, con el equipo de operaciones ensayando junto con el de TI.
Conclusión
El caso francés es el ransomware sin ransomware: sin cifrado, sin robo de datos, sin pedido. Solo el control de un equipo olvidado en un modelo sin patch, apuntado hacia el daño físico.
La cadena de frío fue la advertencia tres veces (Nichirei, Fairlife, ahora Francia), y la respuesta de cada una vale para la próxima: el parque que no recibe patch existe en toda operación, e inventariarlo es el trabajo que antecede a cualquier firewall. El próximo caso va a nacer en la lista que su operación todavía no hizo.