Cada vez más equipos de una empresa se pueden supervisar y controlar a distancia. El ciberataque a los supermercados franceses ha mostrado qué ocurre cuando ese acceso afecta a algo tan cotidiano como mantener los alimentos a la temperatura adecuada. Y plantea una pregunta que va mucho más allá del comercio: ¿sabemos realmente quién puede intervenir sobre los sistemas que mantienen en marcha nuestro negocio?
El lunes 12 de octubre, varios supermercados franceses tuvieron que desechar alimentos frescos y congelados después de sufrir un ciberataque contra sus sistemas de refrigeración. Entre los afectados había establecimientos de Intermarché y Coopérative U, dos importantes grupos de supermercados de Francia. La Fiscalía de París abrió una investigación para esclarecer lo sucedido.
El ataque dejó una consecuencia especialmente preocupante: un problema informático había terminado afectando directamente a la conservación de los alimentos. En algunos equipos, la temperatura llegó a alcanzar los 50 °C. Según una información de Reuters publicada el 15 de octubre, el incidente afectó a centenares de supermercados y las pérdidas en el conjunto del país podrían ascender a decenas de millones de euros.
Para cualquier empresa que utilice maquinaria conectada, es importante entender cómo una orden enviada a través de un sistema digital puede acabar dañando mercancía, interrumpiendo la actividad o generando gastos que nadie había previsto.
Cómo un ajuste remoto puede estropear alimentos
Los sistemas de control de una instalación frigorífica permiten consultar temperaturas, modificar parámetros y recibir avisos sin desplazarse a cada establecimiento. Es una ventaja para el mantenimiento: un técnico puede comprobar qué sucede y actuar con rapidez. Pero esa misma capacidad de intervención exige controlar quién accede al sistema y qué cambios puede realizar.
En los supermercados franceses, las informaciones publicadas describen una manipulación de los ciclos de deshielo. Estos ciclos son una función normal de los equipos frigoríficos y ayudan a eliminar el hielo acumulado. El problema aparece cuando se activan o prolongan fuera de las condiciones previstas, porque pueden elevar la temperatura y comprometer la conservación de los productos.
Aunque todavía se investiga cómo consiguieron acceder a los sistemas de refrigeración y quién estuvo detrás del ataque, sus consecuencias ya son evidentes: equipos manipulados, alimentos que tuvieron que desecharse y pérdidas económicas importantes.
La maquinaria también forma parte de la ciberseguridad
Cuando una empresa piensa en ciberseguridad, suele empezar por los ordenadores, el correo electrónico o los documentos. Una cámara frigorífica, una línea de producción o un sistema de climatización parecen pertenecer a otra categoría. Sin embargo, si pueden recibir instrucciones a través de una red, también pueden verse afectados por un acceso no autorizado.
Las autoridades francesas han identificado incidentes en controladores de refrigeración de Danfoss, Copeland y Dixell, fabricantes y marcas vinculados a la gestión de este tipo de instalaciones. El nombre concreto del proveedor importa para saber qué equipos hay que revisar, pero la cuestión empresarial es común: disponer de una máquina no significa necesariamente tener controlados todos sus accesos digitales.
Este riesgo no era completamente desconocido. Investigadores de Claroty, una empresa especializada en ciberseguridad de sistemas industriales, habían analizado fallos en determinados controladores Danfoss que podían permitir operaciones no autorizadas. El fabricante también había publicado actualizaciones de seguridad para modelos y versiones concretos. Estos antecedentes ayudan a comprender el riesgo, pero no prueban que esas vulnerabilidades fueran la puerta de entrada utilizada en este ataque.
La novedad más útil para las empresas llegó con la alerta del centro francés de respuesta a incidentes informáticos, actualizada el 16 de octubre. El organismo advierte de que probablemente continúan los ataques contra estos equipos. Recomienda evitar que sus paneles de administración sean accesibles directamente desde internet, revisar la configuración de los ciclos de deshielo y permitir la conexión remota solo mediante accesos protegidos.
También insiste en mantener actualizado el software interno de los dispositivos. Si un equipo es tan antiguo que ya no recibe correcciones de seguridad, restaurarlo a sus valores de fábrica no soluciona el problema de fondo: cuando vuelva a conectarse, seguirá expuesto si no se corrige la vulnerabilidad.
La guía de seguridad de tecnología operacional del Instituto Nacional de Estándares y Tecnología de Estados Unidos aborda precisamente esta clase de sistemas, capaces de supervisar o modificar procesos físicos. Aquí la seguridad no consiste únicamente en evitar el robo de información: también se trata de mantener la actividad y prevenir daños en las instalaciones o en sus productos.
El coste de un ciberataque puede ir más allá de lo que cubre el seguro
Aunque se restablezca el funcionamiento de los frigoríficos, los productos deteriorados no se recuperan. A esa pérdida se suman las horas de trabajo, las posibles interrupciones del servicio y los costes necesarios para volver a operar con normalidad.
Hay otra cuestión que ha adquirido importancia en los últimos días: ¿quién asume económicamente esos daños? Según las consultas realizadas por Reuters a profesionales del sector asegurador, muchas pólizas de ciberriesgo no cubren de forma habitual pérdidas materiales como los alimentos estropeados. Eso no significa que ninguna póliza pueda hacerlo; depende de las coberturas contratadas, las exclusiones y las circunstancias del incidente.
Para una empresa, la pregunta deja de ser únicamente si cuenta con un seguro frente a ciberataques. Conviene saber si ese seguro cubre la pérdida de mercancía, la paralización de una instalación o los daños ocasionados por un fallo provocado digitalmente.
Quién protege una instalación en la que intervienen varios proveedores
En una instalación conectada pueden participar el fabricante, la empresa de mantenimiento, el proveedor del programa de control y el equipo informático del negocio. Cada uno se ocupa de una parte. El riesgo aparece cuando nadie tiene una visión completa de quién puede entrar, qué versión del software está funcionando y quién debe aplicar una actualización de seguridad.
El fabricante puede publicar una corrección, pero alguien tiene que comprobar si afecta a los equipos instalados. La empresa de mantenimiento conoce su funcionamiento, aunque quizá no sea responsable de la red. El departamento informático puede proteger los accesos, pero necesita entender qué consecuencias tendría modificar un parámetro de la maquinaria.
Identificar los equipos, las conexiones habilitadas, los permisos y las personas responsables permite detectar vacíos que en una conversación general sobre ciberseguridad pasarían inadvertidos. Después, hay que acordar quién recibe los avisos del fabricante, quién realiza las intervenciones y cómo se comprueba que han quedado correctamente aplicadas.
No se trata de eliminar la asistencia remota, sino de identificar y proteger las vías de acceso a los sistemas que afectan directamente al negocio.
Una alarma solo sirve si alguien puede responder
Además de comprobar que los dispositivos están protegidos, conviene ensayar qué sucedería ante una incidencia real: quién recibe el aviso, quién confirma el problema, quién puede intervenir y cómo se recupera el control si la plataforma habitual deja de funcionar.
Esta comprobación importa tanto en un supermercado como en un hotel con climatización centralizada, una nave con procesos automatizados o cualquier negocio que dependa de equipos gestionados digitalmente. Los riesgos cambian según la actividad, pero en todos los casos conviene saber qué ocurriría si se perdiera el control de una instalación esencial y quién podría responder a tiempo.
Cuanto más automatizamos, más importante es decidir quién tiene el control
El caso francés plantea además una cuestión de futuro. Las empresas incorporan cada vez más herramientas que ajustan automáticamente consumos, horarios y parámetros de funcionamiento. Algunas podrán utilizar inteligencia artificial para recomendar cambios o incluso ejecutarlos. Esa capacidad puede mejorar la eficiencia, pero también obliga a establecer límites claros.
No estamos diciendo que la inteligencia artificial haya intervenido en este ciberataque. Es una reflexión sobre el siguiente paso de la automatización: consultar datos, recomendar una acción y modificar físicamente una instalación son capacidades diferentes. No deberían concederse los mismos permisos ni exigir los mismos controles.
Antes de conectar un nuevo equipo, merece la pena preguntar quién podrá acceder a él, durante cuánto tiempo recibirá actualizaciones, qué cambios podrá realizar por sí solo y cómo se recuperará una configuración segura si algo falla. Son decisiones menos visibles que las nuevas funciones o el ahorro prometido, pero también forman parte del valor real de una inversión tecnológica.
La lección de los supermercados franceses no es desconfiar de la tecnología conectada. Es recordar que, cuando un sistema digital puede modificar lo que ocurre en una instalación física, proteger ese sistema también significa proteger el negocio.