Hackearon la góndola: cómo un clic dejó sin cadena de frío a trescientos supermercados en Francia

Hasta hace una semana, ir al súper en Francia era una pavada. Agarrás el carrito, elegís el queso brie, te quejás del precio y listo. Hoy hay góndolas vacías porque alguien, desde una computadora y con la mala leche bien entrenada, decidió subir la temperatura de las heladeras hasta los cincuenta grados. Trescientos cincuenta locales afectados, mercadería fresca y congelada arruinada, y hasta focos de incendio por el sobreesfuerzo de los compresores. La tecnología, otra vez, arruinando una cosa que andaba bien.

Para entender lo que pasó hay que saber qué hay detrás de una heladera de supermercado. No es un electrodoméstogo con enchufe y termostato: es una pequeña computadora industrial que controla compresores, ciclos de descongelamiento y alarmas, y se conecta a una consola central para que un técnico pueda supervisar decenas de locales sin moverse de la oficina. Esa comodidad, la misma que te permite saber desde tu celular si la cámara de fiambre está a cuatro grados, fue la puerta que dejaron abierta.

La firma detrás del descalabro: Danfoss, gigante danés de la refrigeración

Los controladores comprometidos son de Danfoss, una empresa danesa especializada en automatización industrial. La compañía reconoció que varios equipos atacados corrían versiones viejas de su firmware, algunas ya sin soporte técnico ni parches de seguridad. ¿Qué significa firmware? Pensalo como el sistema operativo del aparatito: si no lo actualizás, queda con las mismas fallas que tenía el día que lo compraste. Un relevamiento con Shodan, que es como Google pero para dispositivos conectados a internet, mostró que al menos cuatro mil quinientas interfaces de Danfoss estaban visibles desde la red al momento del ataque. Ver la dirección no es lo mismo que entrar, pero tampoco ayuda.

“Shodan puede mostrarnos dónde está esa puerta digital, pero eso no significa que tengamos la llave para abrirla. Para ingresar hace falta una vulnerabilidad concreta, credenciales filtradas o una configuración mal hecha, y en algunos casos ni siquiera hace falta contraseña.”Braian Arroyo, especialista en ciberinteligencia

El modelo apuntado y las fallas conocidas

La lupa cayó sobre el controlador Danfoss AK-SM 800A. El equipo Team82 de la firma Claroty había publicado hace tiempo vulnerabilidades en ese equipo que permitían saltar la autenticación, o sea entrar sin pedir permiso, y ejecutar instrucciones a distancia. Danfoss sacó actualizaciones para tapar esos agujeros, pero las autoridades francesas todavía no confirmaron si fueron exactamente esos los vectores usados. Lo concreto: había parche disponible y,, no se instaló donde correspondía.

• Actualizá el firmware de cualquier controlador industrial conectado a la red, aunque funcione bien: la seguridad no se nota hasta que se pierde.
• Separá la red de los dispositivos de frío y climatización de la red de la oficina y del Wi-Fi de los clientes: que un cajero no pueda, sin querer, abrir la puerta del termómetro.
• Cambiá las contraseñas por defecto que vienen de fábrica: la de admin/admin es la primera que prueba cualquiera.
• Monitoreá quién se mete y desde dónde: si la heladera del depósito empieza a recibir instrucciones a las tres de la mañana, algo no está bien.
• Pedile a tu proveedor de refrigeración un informe de seguridad actualizado, no solo un presupuesto de service.

Lo que pasó en Francia no es un caso aislado ni exótico. Es un espejo. En Argentina hay cadenas con freezer, cámaras de frío y sistemas SCADA dando vueltas con software de hace una década y una sola persona enterada de que existen. Yo, cuando me enteré, fui a mirar el router del depósito de un conocido: tenía el usuario y la clave pegados con cinta en la pared. Reírme de mí mismo es gratis, pero la factura del supermercado francés,, no.