Los ciberataques a supermercados y bancos de sangre obligan a tratar la ciberseguridad como un asunto de seguridad físic
Los ciberataques a supermercados y bancos de sangre en Europa muestran que la ciberseguridad es también seguridad física. Expertos piden prevención e inversión.
Los ataques a supermercados europeos y a bancos de sangre deben servir de lección, según los expertos, porque demuestran que la ciberseguridad ha dejado de ser solo una cuestión informática y pasa a ser también un asunto de seguridad física y sanitaria. Aún quedan, sin embargo, muchas incógnitas por despejar: no hay pruebas suficientes para afirmar que los ciberataques estén conectados o formen parte de una misma operación, ni que se haya usado inteligencia artificial para ejecutarlos, ni para determinar su autoría o su motivación.
Hervé Lambert, de Panda Security, y Josep Albors, de ESET España, coinciden en que, de momento, todo son hipótesis. Ambos señalan que no es la primera vez que se atacan infraestructuras industriales o servicios esenciales, pero lo llamativo es la concentración de incidentes en un periodo muy corto y su orientación directa hacia productos físicos como alimentos o reservas de sangre. El 2 de noviembre se conoció una oleada de ciberataques contra los sistemas de refrigeración de supermercados y otros comercios que afectó a establecimientos de al menos cinco países europeos, con pérdidas de comestibles o retiradas preventivas de productos. Bélgica, Países Bajos o Suecia se vieron afectados tres semanas después de un episodio similar en Francia, donde tres bancos de sangre sufrieron un ciberataque que elevó de forma drástica la temperatura de las neveras que conservan las donaciones. Según la información publicada, no hubo impacto sanitario porque funcionaron los sistemas de alerta.
Los grandes sistemas de refrigeración están conectados a plataformas informáticas que permiten supervisar y modificar su funcionamiento a distancia. Si un ciberdelincuente accede a ellas aprovechando una vulnerabilidad o unas credenciales comprometidas, puede alterar parámetros como la temperatura o los ciclos de descongelación. Lambert advierte de que lo más preocupante es que puede hacerlo desde un ordenador situado a miles de kilómetros.
Otra cuestión inquietante es que ya no hacen falta conocimientos extraordinarios para causar daños importantes. Según Lambert, resulta relativamente fácil encontrar en internet herramientas de malware y programas para realizar ciberataques, sin necesidad de recurrir a la dark web, donde también se comercializan herramientas más sofisticadas. Un sistema desactualizado, una contraseña débil o un acceso remoto mal protegido pueden bastar para comprometer una instalación. Ambos expertos alertan de que la inteligencia artificial está aumentando la capacidad de ataque de personas con conocimientos técnicos limitados, aunque por ahora no hay evidencias de su uso en estos casos.
En cuanto a los responsables, se ha hablado de grupos de hackers prorrusos como NoName057(16) y Z-Pentest, pero no hay pruebas suficientes para demostrar quién está detrás ni para delimitar el móvil. Lambert considera razonable plantear la hipótesis de objetivos geopolíticos o de desestabilización, dado que no parece haber una motivación económica directa. El Kremlin calificó de absurdas las acusaciones europeas que lo relacionan con estos ataques.
Albors se muestra preocupado por que no se aprenda la lección, ya que, según asegura, estos ataques seguirán produciéndose. Propone identificar qué sistemas físicos están expuestos a control remoto, comprobar que solo pueden acceder personas autorizadas, verificar que están actualizados y disponer de monitorización que permita detectar por dónde se produce una intrusión. Subraya además la necesidad de una mayor inversión en ciberseguridad. Lambert, por su parte, defiende el concepto de security by design, es decir, incorporar la ciberseguridad desde el diseño de cualquier dispositivo o proceso tecnológico. Como resume, la seguridad absoluta no existe, pero los riesgos pueden reducirse enormemente separando las redes corporativas de las que controlan instalaciones críticas y contando con sistemas independientes de alarma y protocolos de emergencia.
Información elaborada a partir de Deia.