Los ciberataques a supermercados y bancos de sangre obligan a repensar la seguridad física

Los ataques recientes contra supermercados europeos y bancos de sangre deben servir de lección, según expertos en ciberseguridad, porque demuestran que esta materia ha dejado de ser solo informática para convertirse también en un asunto de seguridad física y sanitaria. Sin embargo, todavía quedan muchas incógnitas: no hay pruebas suficientes para afirmar que los incidentes estén conectados o formen parte de una misma operación, ni que se haya usado inteligencia artificial, ni para concluir la autoría o la motivación.

Según el texto, el 2 de noviembre se conoció una oleada de ciberataques contra los sistemas de refrigeración de supermercados y otros comercios que afectó a establecimientos de al menos cinco países europeos, con pérdidas de comestibles o retiradas preventivas de productos. Los incidentes en Bélgica, Países Bajos o Suecia se produjeron tres semanas después de un episodio similar en Francia, donde tres bancos de sangre sufrieron un ciberataque que elevó drásticamente la temperatura de las neveras, aunque no hubo impacto sanitario porque funcionaron los sistemas de alerta.

Hervé Lambert, de Panda Security, explica que los grandes sistemas de refrigeración están conectados a plataformas informáticas que permiten supervisar y modificar su funcionamiento a distancia. Si un atacante aprovecha una vulnerabilidad o unas credenciales comprometidas, puede alterar parámetros como la temperatura o los ciclos de descongelación. «Lo más preocupante es que puede hacerlo desde un ordenador situado a miles de kilómetros», advierte.

Según Lambert, ya no hacen falta conocimientos extraordinarios, pues es relativamente fácil encontrar herramientas de malware en internet. «Un sistema desactualizado, una contraseña débil o un acceso remoto mal protegido pueden ser suficientes para comprometer una instalación», afirma. Él y Josep Albors, de ESET España, coinciden en que la IA podría aumentar la capacidad de ataque de personas con conocimientos técnicos limitados, aunque aún no hay evidencias de su uso en estos casos.

Se ha mencionado a grupos de hackers prorrusos como NoName057(16) y Z-Pentest, pero, según los especialistas, no existen pruebas determinantes que permitan identificar a los responsables ni su móvil. Lambert considera razonable plantear la hipótesis de objetivos geopolíticos o de desestabilización, dado que no parece haber una motivación económica directa. El Kremlin calificó este jueves de «absurdas» las acusaciones europeas que lo relacionan con estos ataques.

Albors se muestra preocupado por que no se aprenda la lección. Propone identificar qué sistemas físicos están expuestos a control remoto, comprobar que solo los usan personas autorizadas, mantenerlos actualizados y monitorizar para detectar intrusiones. Lambert, por su parte, defiende el concepto de «security by design», es decir, incorporar la ciberseguridad desde el diseño de los dispositivos, y recuerda que la seguridad absoluta no existe, aunque los riesgos sí pueden reducirse mucho separando las redes corporativas de las que controlan instalaciones críticas y contando con alarmas independientes y protocolos de emergencia.

Información elaborada a partir de Noticias de Gipuzkoa.