Un ciberatac no necessita bloquejar una pàgina web ni robar les dades d’una empresa per provocar danys importants. En les últimes setmanes, diversos incidents a Europa han demostrat que també pot alterar el funcionament d’instal·lacions físiques de les quals depenen serveis quotidians. Els sistemes de refrigeració de supermercats han estat manipulats a distància, provocant que els aliments frescos i congelats deixessin de conservar-se a la temperatura adequada. A França, el mateix tipus de problema va arribar a tres centres regionals de bancs de sang.
Els atacs han afectat establiments de diferents països europeus i han obligat a retirar productes, traslladar reserves i revisar els sistemes de control remot. Tot i això, no tots els incidents han tingut les mateixes conseqüències: mentre alguns supermercats van registrar pèrdues de mercaderia, els centres de sang francesos van aconseguir protegir les seves reserves gràcies als sistemes d’alarma i a la intervenció dels seus treballadors.
Els experts consultats per EFE adverteixen que aquests episodis mostren com una vulnerabilitat informàtica pot acabar afectant la cadena alimentària o serveis sanitaris. No obstant això, encara no hi ha proves suficients per assegurar que tots els atacs estiguin relacionats, que formin part d’una mateixa operació o que hagin estat executats amb intel·ligència artificial.
Supermercats europeus: frigorífics manipulats des de la distància
Els primers incidents d’aquesta nova onada es van conèixer a començaments de novembre, quan diversos supermercats europeus van detectar alteracions en els seus sistemes de refrigeració. Els atacs van afectar establiments de països com Bèlgica, Països Baixos, Suècia, Irlanda, Luxemburg i Portugal, entre d’altres.
A Bèlgica, desenes d’establiments de cadenes com Delhaize i Carrefour van patir problemes a les seves instal·lacions frigorífiques. En alguns casos, els sistemes van deixar de refredar correctament i els comerços van haver de retirar aliments o recórrer a camions frigorífics per conservar part de la mercaderia. L’impacte va ser desigual: Carrefour va comunicar que les conseqüències als seus establiments belgues havien estat limitades i que les botigues van poder romandre obertes.
A Portugal, set supermercats Intermarché van patir un atac que va afectar els seus equips de refrigeració. Tres d’ells van registrar pèrdues de productes, tot i que la companyia va assegurar que el subministrament no s’havia interromput i que les condicions d’higiene i seguretat alimentària estaven garantides.
A Suècia també es van comunicar alteracions de temperatura en establiments de la cadena ICA, amb pèrdues de mercaderia. Als Països Baixos, els incidents van afectar sobretot petits comerços i carnisseries.
El grau econòmic total d’aquesta onada encara no està tancat. Les conseqüències confirmades inclouen aliments deteriorats, retirades preventives de productes i problemes en el funcionament dels equips, però no existeix un balanç conjunt definitiu de les pèrdues.
Tres bancs de sang francesos també van patir l’atac
L’episodi més delicat des del punt de vista sanitari es va produir dilluns 2 de novembre a França. Tres centres regionals de l’Établissement français du sang (EFS), l’organisme encarregat de gestionar les reserves de sang, van patir una intrusió que va afectar els sistemes de vigilància i control de les seves cambres frigorífiques.
Els atacants van aconseguir alterar els paràmetres de temperatura i descongelació de les instal·lacions. En aquestes cambres s’hi emmagatzemaven productes sanguinis, entre els quals bosses de plasma destinades a transfusions i a la fabricació de medicaments.
La situació es va detectar pels sistemes d’alarma, que van alertar el personal dels centres. Els treballadors van traslladar les reserves a altres cambres frigorífiques que no estaven connectades als sistemes compromesos i van reforçar la vigilància de les temperatures.
El Ministeri de Sanitat francès va confirmar que no s’havia identificat cap impacte sanitari i que no s’havia perdut cap producte sanguini. També va assenyalar que l’incident estava sota control i que s’havia desactivat l’accés remot als equips afectats.
La investigació continua per determinar com es va produir la intrusió, quins dispositius van resultar compromesos i quan podran tornar a utilitzar-se amb seguretat.
Com pot un atac informàtic espatllar aliments o comprometre reserves sanitàries
La clau és en els sistemes que permeten controlar instal·lacions físiques des d’un ordinador. Molts supermercats i centres sanitaris utilitzen plataformes connectades a internet per supervisar la temperatura de càmeres frigorífiques, modificar paràmetres i rebre avisos quan es produeix una anomalía.
Si un atacant aconsegueix accedir a aquests sistemes, pot alterar-ne el funcionament sense necessitat d’entrar físicament al establiment. En els incidents recents, la manipulació dels controls de refrigeració va permetre modificar temperatures i cicles de descongelació.
En un supermercat, una pujada de temperatura pot trencar la cadena de fred i obligar a retirar aliments frescos o congelats que ja no ofereixen garanties per al seu consum. En un banc de sang, les conseqüències potencials són especialment delicades: conservar els components sanguinis exigeix condicions específiques i una alteració pot posar en risc productes destinats a tractaments mèdics.
Això no significa que tots els atacs hagin provocat danys sanitaris o que s’hagin perdut reserves. En el cas francès, les alarmes i la intervenció del personal van evitar que l’incident tingués conseqüències sobre el subministrament de sang.
No tots els atacs impliquen robatori de dades
Una de les diferències importants d’aquests incidents és que l’objectiu conegut no ha estat necessàriament accedir a informació personal, robar bases de dades o exigir un rescat econòmic. El que s’ha documentat en els casos de refrigeració és la manipulació de sistemes de control que actuen directament sobre equips físics.
Per tant, convé distingir tres tipus de conseqüències:
-
Interrupció operativa: els sistemes deixen de funcionar amb normalitat o perden capacitat de control. És el que va passar amb les instal·lacions frigorífiques afectades.
-
Danys materials o pèrdua de productes: una alteració de la temperatura pot deteriorar aliments o posar en risc productes que necessiten conservació específica. En alguns supermercats hi va haver que rebutjar mercaderia.
-
Robatori o exposició de dades: és una conseqüència possible d’altres ciberatacs, però no s’ha confirmat com a resultat dels incidents de refrigeració descrits.
Tampoc no s’ha demostrat que tots els atacs procedeixin dels mateixos responsables. Els experts consultats per EFE insisteixen que existeixen similituds en els mètodes utilitzats, però encara falten proves per establir una connexió entre els diferents episodis o atribuir-los a un grup concret.
Quina vulnerabilitat permet controlar aquests equips a distància
Els especialistes assenyalen que no sempre calen tècniques especialment sofisticades per comprometre una instal·lació. Una contrasenya feble, un dispositiu desactualitzat o una connexió remota mal protegida poden obrir la porta als atacants.
En alguns dels incidents europeus, els sistemes de refrigeració estaven connectats a internet mitjançant plataformes de gestió remota. Els experts han advertit que alguns equips conservaven credencials predeterminades o no comptaven amb mesures de protecció suficients.
Això permet entendre per què un problema aparentment informàtic pot acabar afectant una activitat física. L’accés a un sistema de control no només permet consultar informació: en determinats casos també ofereix capacitat per modificar el funcionament de màquines, càmeres i altres equips industrials.
Entre les mesures recomanades pels especialistes hi figura canviar les contrasenyes de fàbrica, mantenir el programari actualitzat, limitar les connexions des d’internet, separar les xarxes informàtiques corporatives de les que controlen les instal·lacions i disposar de sistemes d’alarma independents.
Els atacs estan relacionats i qui hi ha al darrere?
La concentració d’incidents en diferents països europeus en un període curt ha despertat la preocupació de les autoritats. Tanmateix, a data de 7 de novembre no s’ha confirmat que tots responguin a una mateixa operació ni s’ha identificat de manera concloent els seus responsables.
Els experts han assenyalat que s’han esmentat grups de hackers prorrusos, però no hi ha proves determinants que permetin atribuir-los els atacs. Tampoc no s’ha demostrat que s’utilitzés intel·ligència artificial per executar-los.
La Comissió Europea ha seguit de prop els incidents i ha coordinat contactes amb Europol i els estats membres per abordar els riscos sobre infraestructures connectades. La preocupació va més enllà dels supermercats i els bancs de sang: qualsevol instal·lació que depengui de sistemes informàtics per controlar equips físics pot convertir-se en un objectiu si les seves connexions no estan prou protegides.
La principal lliçó d’aquesta onada és que la ciberseguretat ja no afecta únicament les dades o l’activitat digital d’una empresa. Quan els sistemes informàtics controlen la conservació d’aliments o de productes sanitaris, una intrusió pot tenir conseqüències directes sobre serveis essencials.