Els ciberatacs a supermercats han deixat de limitar-se al robatori de dades personals, els problemes amb els pagaments electrònics o el bloqueig de les pàgines web. Una nova onada d’incidents informàtics registrada aquest dilluns 2 de novembre a Bèlgica i Suècia ha demostrat que els delinqüents també poden alterar el funcionament d’equips físics essencials per a l’activitat comercial. En aquesta ocasió, l’objectiu han estat els sistemes de refrigeració i congelació, les temperatures dels quals s’han disparat durant la matinada fins a assolir els 55 graus centígrads en alguns establiments.
Les conseqüències han estat immediates. Desenes de supermercats han hagut de retirar productes frescos i congelats, alguns establiments han tancat temporalment i les primeres estimacions apunten a pèrdues de milions d’euros. La situació recorda l’atac registrat a França el passat 12 d’octubre, quan centenars de comerços van patir alteracions similars. Tanmateix, les autoritats encara no han confirmat que els dos episodis estiguin relacionats ni han identificat públicament els responsables de les noves incidències.
Què ha passat als supermercats de Bèlgica i Suècia?
Els incidents es van produir durant la nit de diumenge 1 a dilluns 2 de novembre, quan els sistemes de refrigeració de nombrosos establiments van començar a registrar temperatures molt superiors a les necessàries per conservar els aliments.
A Bèlgica, la cadena Delhaize va detectar alteracions en uns 40 supermercats, mentre que Carrefour va confirmar incidències en almenys 15 establiments i Spar va comunicar problemes en cinc més. També s’han registrat anomalies a les instal·lacions frigorífiques de la cadena de carnisseries De Laet & Van Haver i s’han notificat incidents similars a Luxemburg.
Segons va informar el mitjà belga RTL, Delhaize va enviar una advertència als responsables de les seves botigues al voltant de les 04:00 hores, després de detectar pujades anòmales de temperatura. En diversos establiments els equips van assolir uns 15 graus, tot i que en un supermercat belga es van registrar temperatures properes als 45 graus. Alguns responsables van recórrer a camions frigorífics per intentar salvar la mercaderia, mentre que altres van haver de llençar els productes emmagatzemats.
A Suècia, les cadenes ICA i Coop també van confirmar problemes en els seus sistemes de refrigeració. Reuters va informar de sis supermercats afectats de Coop, mentre que altres informacions eleven a set els establiments d’aquesta cadena. ICA va reconèixer incidències en un nombre limitat de botigues, algunes de les quals van haver de suspendre temporalment la seva activitat.
Un dels casos més cridaners es va produir en un supermercat ICA de Boda, a l’illa sueca d’Öland, on els treballadors van trobar aigua al terra i van comprovar que un congelador havia arribat als 55 graus.
Com aconsegueixen els ciberdelinqüents pujar la temperatura dels congeladors?
La clau és en els sistemes informàtics que controlen les instal·lacions de refrigeració dels supermercats.Molts establiments utilitzen equips connectats que permeten supervisar temperatures, programar operacions de manteniment i modificar paràmetres a distància. Aquesta tecnologia facilita la gestió de grans superfícies comercials, però també pot convertir-se en una via d’entrada per als atacants si no compta amb les mesures de seguretat adequades.
En l’atac registrat a França a l’octubre, els investigadors van detectar que els ciberdelinqüents havien aconseguit manipular els controls de refrigeració per activar processos de descongelació de manera anòmala. Aquests cicles, que normalment serveixen per eliminar la gebrada dels equips, van ser alterats de manera que els frigorífics van deixar de conservar els aliments a la temperatura necessària.
En alguns establiments francesos, les temperatures van arribar als 50 graus durant diverses hores, provocant la descongelació de productes i fins i tot danys materials. Les investigacions van identificar vulnerabilitats en determinats sistemes de control industrial, inclosos equips que utilitzaven programari desactualitzat.
Encara no està demostrat que els incidents de Bèlgica i Suècia s’hagin produït mitjançant el mateix procediment. Les similituds en els efectes suggereixen una possible manipulació dels controls, però les empreses i els investigadors han de determinar com es va produir l’accés i quins sistemes van resultar compromesos.
Les xifres són provisionals i poden variar a mesura que les companyies revisin els seus establiments. A més, que s’hagin registrat incidents similars en diferents països no significa necessàriament que existeixi un únic atac coordinat.
Per què les pèrdues econòmiques poden arribar a diversos milions d’euros?
El principal perjudici econòmic prové de la ruptura de la cadena de fred. Els supermercats han de conservar nombrosos productes a temperatures específiques per garantir-ne la seguretat. Quan els equips deixen de funcionar correctament durant diverses hores, aliments com carns, peixos, làctics i congelats poden perdre les condicions necessàries per a la seva comercialització.
Tot i que posteriorment s’aconsegueixi reduir la temperatura de les cambres, tornar a congelar els productes no garanteix que siguin aptes per a la venda. Per aquest motiu, els establiments afectats han d’avaluar les mercaderies i retirar aquelles la seguretat de les quals no pugui acreditar-se.
Segons les estimacions inicials recollides pel Financial Times, els danys als supermercats afectats de Bèlgica i Suècia podrien assolir milions d’euros, tot i que encara no hi ha una xifra definitiva i conjunta. A la pèrdua d’aliments cal sumar els costos de neteja, reparació d’instal·lacions, revisió d’equips i tancament temporal d’establiments.
El precedent de França resulta especialment significatiu. L’atac del 12 d’octubre va afectar centenars de supermercats i va provocar pèrdues estimades en desenes de milions d’euros. La magnitud de l’incident va obligar a intervenir les autoritats franceses de ciberseguretat i a obrir una investigació per determinar qui havia manipulat els sistemes.
Qui hi ha darrere del ciberatac als supermercats?
De moment, no existeix una atribució oficial dels incidents registrats aquest dilluns a Bèlgica i Suècia. Les empreses afectades han reconegut alteracions en els seus sistemes informàtics, però les investigacions han d’establir si es tracta d’una mateixa operació, de diferents atacs o d’incidències relacionades amb una vulnerabilitat compartida.
La investigació francesa també continua oberta. Les autoritats d’aquell país estan analitzant els accessos no autoritzats als equips de refrigeració i col·laboren amb organismes especialitzats en ciberseguretat per determinar l’origen dels atacs.
No s’ha demostrat que existeixi una organització concreta darrere de tots els casos ni que els incidents estiguin vinculats a un Estat. La coincidència temporal i les similituds tècniques constitueixen elements rellevants per a la investigació, però no són suficients per identificar els responsables.
Pot produir-se un ciberatac similar als supermercats d’Espanya?
Els sistemes de refrigeració connectats utilitzats per supermercats espanyols poden presentar riscos similars als d’altres països europeus, especialment si fan servir programes obsolets, equips sense actualitzacions de seguretat o connexions remotes deficientment protegides.
El problema no està vinculat exclusivament a una cadena comercial o a un país, sinó a la seguretat dels dispositius que permeten controlar instal·lacions industrials a distància. Per això, especialistes en ciberseguretat recomanen mantenir actualitzats els equips, limitar els accessos remots, utilitzar sistemes d’autenticació robustos i separar les xarxes de control industrial d’altres xarxes informàtiques.
De moment, no s’ha confirmat públicament que supermercats espanyols hagin resultat afectats per aquesta nova onada d’incidències del 2 de novembre. Això no significa que els establiments estiguin lliures de riscos, sinó que no hi ha informació contrastada que permeti incloure Espanya entre els països perjudicats per aquests episodis concrets.
La preocupació s’estén també a altres sectors que necessiten refrigeració constant, com ara magatzems alimentaris, centres logístics, instal·lacions farmacèutiques i determinades indústries.
Quines conseqüències poden tenir aquests atacs per als consumidors?
L’efecte més immediat per als consumidors és la possible manca temporal d’alguns productes frescos i congelats als establiments afectats. Quan una botiga perd una part important de la seva mercaderia, pot necessitar temps per revisar les instal·lacions, rebre nous subministraments i recuperar la seva activitat habitual.
Tanmateix, no hi ha proves que aquests incidents hagin compromès les dades bancàries o personals dels clients, ja que els problemes comunicats aquest dilluns se centren en els sistemes de refrigeració. Tampoc no s’ha de confondre el deteriorament dels aliments emmagatzemats amb una alerta alimentària generalitzada: els supermercats afectats han de retirar la mercaderia la conservació de la qual no es pugui garantir.
L’incident planteja una qüestió més àmplia per al sector comercial europeu. Els atacs informàtics ja poden traduir-se en danys físics, interrupcions del subministrament alimentari i pèrdues econòmiques, fins i tot quan els sistemes de pagament o les pàgines web continuen funcionant amb normalitat.
La successió d’incidents a França, Bèlgica i Suècia ha posat de manifest la importància de protegir no només les dades de les empreses, sinó també les instal·lacions tecnològiques de les quals depèn el seu funcionament diari. Mentre continua la investigació, la principal incògnita és si els episodis responen a una mateixa vulnerabilitat explotada en diversos països o a atacs independents contra sistemes similars.