Pirates informàtics manipulen remotament els termòstats de grans cadenes i eleven la temperatura fins als 50 graus. L’incident reprodueix la bretxa de seguretat massiva que va causar pèrdues milionàries a França el mes passat.

La vulnerabilitat de les infraestructures crítiques i de l’Internet de les coses (IoT) ha obert un front de batalla nou i inesperat en el subministrament alimentari europeu. Durant la matinada d’aquest dilluns, desenes de supermercats de Bèlgica, Luxemburg i Suècia han patit un suposat ciberatac coordinat que ha pres el control remot dels seus sistemes de refrigeració. Els presumptes pirates informàtics van forçar l’activació dels modes de descongelació, la qual cosa va provocar pujades tèrmiques fulminants que han arruïnat les existències de productes frescos i congelats.

L’assalt tecnològic ha impactat de ple en els gegants de la distribució comercial del Benelux i Escandinàvia. A Bèlgica, la cadena Delhaize (del grup Ahold Delhaize) ha confirmat el bloqueig informàtic dels compressors d’una quarantena d’establiments, un patró replicat en almenys quinze botigues de Carrefour i cinc franquícies de Spar (Colruyt). La mateixa fallada de seguretat ha afectat les cadenes sueques ICA i Coop, on els treballadors van informar de pujades tèrmiques induïdes que van assolir els 50 graus centígrads, amb la qual cosa la cadena de fred va quedar completament inutilitzada.

El precedent francès: vulnerabilitats als controladors

L’assalt als lineals escandinaus i belgues no és un incident aïllat, sinó la rèplica exacta d’una operació a gran escala executada a França l’octubre passat. En aquella ocasió, els atacants van vulnerar els sistemes de refrigeració de fins a 700 establiments que pertanyien a firmes com ara Intermarché, E. Leclerc, Carrefour o Coopérative U. La manipulació tèrmica, que en alguns locals normands va disparar els termòmetres per sobre dels 80 graus i fins i tot va provocar petits incendis als motors, va obligar a rebutjar tones d’aliments per risc sanitari, i va generar pèrdues econòmiques estimades en desenes de milions d’euros.

Les investigacions liderades per l’Agència Nacional de Ciberseguretat francesa (ANSSI) després de l’atac d’octubre van apuntar a un vector d’entrada comú: els controladors de temperatura comercials (principalment models obsolets o sense actualitzar del fabricant danès Danfoss, com també equips de Copeland). Aquests dispositius industrials operaven amb servidors web exposats a la xarxa pública i, en nombrosos casos, no tenien protocols de seguretat bàsics, i això va permetre l’accés mitjançant contrasenyes per defecte o introduint simplement la data del dia com a credencial d’administrador.

Irlanda se suma a l’alerta europea

L’onada expansiva dels ciberatacs també ha arribat a Irlanda, on el grup Musgrave ha confirmat que tretze supermercats de la seva cadena SuperValu han patit un incident informàtic idèntic en els seus sistemes de refrigeració. La bretxa, circumscrita a un model tècnic molt específic d’equipament, ha obligat a retirar de la venda tots els productes frescos i congelats dels centres afectats com a mesura de precaució sanitària.

L’empresa, que manté una investigació oberta juntament amb especialistes en ciberseguretat i els mateixos proveïdors de la infraestructura, ha aconseguit aïllar l’atac gràcies als seus sistemes de vigilància primerenca, la qual cosa ha permès mantenir l’operativitat i les garanties de seguretat a la resta de les instal·lacions comercials.

El risc sistèmic de l’IoT

Aquest patró de sabotatge evidencia una esquerda estructural en la gestió de serveis essencials. La digitalització massiva i la connectivitat a Internet d’equips industrials en un altre temps purament mecànics —necessària per al manteniment remot o les alertes primerenques— s’ha executat sense els estàndards de ciberseguretat exigibles a les infraestructures crítiques.

Per a les agències d’intel·ligència i els analistes de ciberseguretat, el salt qualitatiu és evident. L’objectiu dels atacants, la identitat i les intencions finals dels quals no s’han aclarit oficialment, ja no es limita a la sustracció de dades bancàries o al segrest de servidors mitjançant programari de segrest, sinó que persegueix l’alteració física de l’entorn. La facilitat per executar l’atac des de qualsevol punt del globus planteja un desafiament de seguretat nacional, i això demostra que la manipulació d’una contrasenya per defecte en el control d’una cambra frigorífica és suficient per comprometre el proveïment alimentari a escala local.