Qué ocurrió en Francia

Entre el 11 y el 12 de octubre, .cientos de supermercados franceses amanecieron con la mercadería fresca y congelada arruinada. Según la prensa, los atacantes entraron al sistema de control remoto de la refrigeración y activaron el ciclo de deshielo de forma continua, con consignas de hasta 50 °C durante unas seis horas.

Toma de control...

El sistema que controla a distancia la refrigeración recibió una orden de descongelación que dejó los equipos a temperaturas extremas. Las cadenas afectadas debieron tirar la mercadería fresca y congelada.

Se vieron afectados locales de Intermarché, Coopérative U, Leclerc y Netto, entre otros. * Intermarché habló de unos 150 establecimientos afectados. * Los primeros informes apuntan a sistemas de control del fabricante danés Danfoss. * La Fiscalía francesa lo calificó como un ataque de gran escala contra equipos de refrigeración conectados a internet. Dos supermercados de Haguenau estimaron pérdidas conjuntas de unos 270.000 euros, y se habla de pérdidas millonarias en total. * Hubo también reportes de incendios y de incidentes informáticos en Países Bajos y Bélgica, aunque no está confirmado que estén relacionados.

Nadie se atribuyó el ataque y la investigación sigue abierta, así que conviene tomar las cifras como provisorias.

Lo que este caso nos deja.

La causa raíz todavía no está confirmada, así que lo que sigue son puntos de análisis y no conclusiones. Aun así, el patrón es conocido.

* Dependencia de un proveedor. Una plataforma de gestión remota con acceso a cientos de tiendas multiplica el impacto de un solo compromiso.(Falta de Control)

* Sistemas de control expuestos. Equipos industriales (OT) alcanzables desde internet, o con accesos remotos débiles, siguen siendo una puerta frecuente.

* Sin límites propios en el equipo. Un congelador no debería aceptar 50 °C durante horas, sin importar quién se lo ordene.

* Detección tardía. El problema lo encontró el personal al llegar por la mañana, no una alarma

* Poca preparación para operar sin el sistema. Cuando falla el control remoto, la pregunta es cuánto tarda la organización en proteger la mercadería.

El fabricante, Danfoss, sostuvo que la mayoría de los sistemas afectados eran antiguos y sin actualizaciones de seguridad. Una de las cadenas, Intermarché, advirtió además que su seguro podría no cubrir esta pérdida.

El ataque, explicado sin tecnicismos y como una gerencia Uruguaya puede actuar en un caso asi .

En 30 segundos....

Imagine el control remoto del aire acondicionado: quien lo tiene decide la temperatura. Los atacantes consiguieron algo equivalente sobre los equipos de frío, y lo usaron para calentarlos en lugar de enfriarlos. El camino tuvo cuatro pasos, y cada uno puede cortarse con una medida concreta.

Lo que se perdió fue mercadería, no datos, pero implico perdidas millonarias .

Para una gerencia uruguaya, tres ideas alcanzan para actuar:

1. El frío es un sistema informático. Si se controla a distancia, puede atacarse a distancia, igual que una cuenta de correo.
2. El riesgo está en el proveedor y en los equipos viejos. Un solo acceso puede dar órdenes a muchos locales, y un equipo sin actualizaciones es una puerta abierta.
3. La mejor defensa es una red de seguridad propia. Sensores de temperatura independientes, límites en el equipo y un plan manual probado salvan la mercadería aunque el sistema falle.

Para seguir las conversaciones con su equipo técnico, estos siete términos alcanzan:

Tres preguntas para su equipo esta semana.

1. ¿Quién puede dar órdenes a nuestros equipos de frío a distancia, y con qué cuentas?
2. 2. Si la temperatura sube a las 3 de la mañana, ¿quién se entera y cuánto tarda?
3. 3. ¿Nuestro seguro cubre la pérdida de mercadería por causa cibernética?
   Cuando generalemente pasan estos incidentes en otras partes del mundo, nuestra mente esta enfocada en otros asuntos y no se nos pasa por la cabeza dichas preguntas, pero deberíamos tenerlas presente, ya que Uruguay no esta aislado e incluso cada día mas estamos en el ojo de Ciberdelincuentes.

Qué hacer, en orden de prioridad ?

Las primeras acciones cuestan poco y no exigen cambiar equipos. Los plazos y niveles de esfuerzo son estimaciones, no cotizaciones.

i pasa mañana: los primeros 60 minutos

La primera hora decide cuánta mercadería se salva. Este es el mínimo que el plan debe tener escrito, con nombres y teléfonos.

1. Medir la temperatura con un termómetro propio, sin fiarse del sistema, y avisar a la guardia.

2. Cortar el acceso remoto de los equipos de frío y pasar a control local o manual.

3. Trasladar primero lo más sensible (congelados, lácteos, carnes) a cámaras de respaldo o a un camión refrigerado.

4.Vigilar los equipos recalentados: ante olor o humo, evacuar y llamar a Bomberos.

5. Anotar todo y sacar fotos, y avisar al proveedor, al seguro y al CERTuy de Agesic.

Uruguay tiene estrategia y marco, pero la protección del frío de un comercio depende de cada empresa.

* Hay base institucional. Existe la Estrategia Nacional de Ciberseguridad 2024-2030 y, desde el Decreto 66/025, el Marco de Ciberseguridad de Agesic es obligatorio para organismos públicos y para empresas que prestan servicios críticos al Estado. No se encontré una norma pública que obligue a un supermercado privado a proteger su refrigeración; estaría bueno que si un asesor legal tiene información pueda expresarlo a modo de comentario.

* Los ataques son constantes. Se reportó un ciberataque cada 30 minutos en 2024, y en los últimos meses hubo incidentes en Antel y otras instituciones. Hasta ahora son sobre todo robos de datos, no daño físico.

* Nadie sabe cuánto estamos expuestos. No hay datos públicos sobre qué equipos de frío usan los supermercados ni cuántos tienen control remoto.