Los ciberataques a supermercados y bancos de sangre obligan a repensar la seguridad física

Los ataques informáticos contra supermercados europeos y bancos de sangre deben servir de lección, según los expertos, porque muestran que la ciberseguridad ya no es solo una cuestión informática, sino también un asunto de seguridad física y sanitaria. Aun así, quedan muchas incógnitas: no hay pruebas suficientes para afirmar que los ataques estén conectados o formen parte de una misma operación, ni que se haya utilizado inteligencia artificial para ejecutarlos, ni para determinar su autoría o motivación.

Hervé Lambert, de Panda Security, y Josep Albors, de ESET España, coinciden en que, de momento, solo hay hipótesis. Según explican, no es la primera vez que se atacan infraestructuras industriales o servicios esenciales, pero lo llamativo es la concentración de incidentes en un periodo tan corto y su orientación hacia productos físicos como alimentos o reservas de sangre.

El 2 de noviembre se conoció una oleada de ciberataques contra los sistemas de refrigeración de supermercados y otros comercios, que afectó a establecimientos de al menos cinco países europeos, con pérdidas de comestibles o retiradas preventivas de productos. Según la información publicada, los incidentes en Bélgica, Países Bajos o Suecia se produjeron tres semanas después de un episodio similar en Francia, donde tres bancos de sangre sufrieron un ciberataque el pasado lunes que elevó de forma drástica la temperatura de las neveras que conservan las muestras. No hubo impacto sanitario porque funcionaron los sistemas de alerta.

Los grandes sistemas de refrigeración están conectados a plataformas informáticas que permiten supervisarlos y modificarlos a distancia. Si un atacante accede aprovechando una vulnerabilidad o unas credenciales comprometidas, puede alterar parámetros como la temperatura o los ciclos de descongelación. Lambert advierte de que «lo más preocupante es que puede hacerlo desde un ordenador situado a miles de kilómetros».

Otro de los motivos de preocupación es que ya no hacen falta conocimientos extraordinarios para causar daños importantes. Lambert señala que hoy es relativamente fácil encontrar en internet herramientas de malware y programas para realizar ciberataques, y que un sistema desactualizado, una contraseña débil o un acceso remoto mal protegido pueden bastar para comprometer una instalación. Ambos expertos alertan de que la inteligencia artificial está aumentando la capacidad de ataque de personas con conocimientos técnicos limitados, aunque por ahora no hay evidencias de su uso en estos casos.

Se ha mencionado a grupos de hackers prorrusos como NoName057(16) y Z-Pentest, pero no existen pruebas suficientes para demostrar quién está detrás ni cuál es el móvil. Según Lambert, no parece haber una motivación económica directa, por lo que es razonable plantear la hipótesis de objetivos geopolíticos o de desestabilización, aunque sin pruebas determinantes. El Kremlin calificó este jueves de «absurdas» las acusaciones europeas que lo vinculan con estos ataques.

Albors se muestra preocupado por que no se aprenda la lección, ya que, según advierte, estos ataques seguirán produciéndose. Propone identificar qué sistemas físicos están expuestos a control remoto, comprobar que solo pueden acceder personas autorizadas, verificar que están actualizados y monitorizar los accesos para detectar intrusiones. Subraya, además, que hace falta más inversión: «Si se quiere solucionar, hay que invertir en ciberseguridad». Lambert defiende el concepto de «security by design», es decir, incorporar la ciberseguridad desde el diseño de cualquier dispositivo o proceso tecnológico, y recuerda que la seguridad absoluta no existe, aunque los riesgos sí pueden reducirse mucho separando las redes corporativas de las que controlan instalaciones críticas y contando con sistemas independientes de alarma y protocolos de emergencia.

Información elaborada a partir de Diario de Noticias de Álava.