Cuando el frío se hackea: lecciones del ataque al banco de sangre francés

El incidente: cuando el termostato se convierte en vector de ataque

El Servicio Francés de Sangre (EFS) ha visto cómo un ataque informático tocaba uno de los activos más sensibles de su operativa: las cámaras refrigeradoras donde se conservan muestras de sangre y otros productos biológicos. Según ha trascendido, el incidente se produjo un lunes y afectó a los sistemas de monitorización y control de equipos desplegados en tres centros. La institución ha querido matizar que las cámaras dependen de un proveedor externo, de modo que el ataque no iba dirigido contra el EFS sino contra el servicio de ese tercero.

Los sistemas de monitorización del EFS detectaron anomalías en los umbrales de temperatura y descongelación, algo que ponía en riesgo la viabilidad de las muestras almacenadas. La detección temprana permitió trasladar los productos a otros centros sanitarios antes de que se perdieran. El EFS trabaja ahora con la Agencia Nacional de Ciberseguridad de Francia (ANSSI) en la investigación y ha reforzado la monitorización del funcionamiento y la temperatura de sus cámaras.

Qué hizo exactamente el atacante

El análisis de S2GRUPO apunta a que los atacantes no entraron directamente en el EFS: utilizaron el acceso del proveedor de frío, Coolworld. La acción se quedó en un primer nivel de manipulación —elevar las consignas de temperatura— sin llegar a activar el desescarche. Las alarmas saltaron, los productos se trasladaron de forma preventiva y no hubo pérdidas. Óscar Navarro, responsable de Ciberseguridad Industrial en S2GRUPO, señala que elevar la consigna de temperatura está al alcance de cualquiera con acceso a un panel expuesto en Internet, sin necesidad de saber nada de refrigeración. Activar el desescarche, en cambio, exige un conocimiento mayor del proceso industrial. La conclusión es incómoda: en Europa conviven ambos perfiles, y quien activa el desescarche no es un oportunista, sino un actor que entiende el proceso y busca el máximo impacto.

El patrón se repite: neveras de supermercado, climatización, agua

Este incidente recuerda a los dos ocurridos recientemente contra supermercados de Francia y otros países europeos, que también sufrieron ataques contra sus cámaras frigoríficas con pérdidas millonarias. George Onofrei, analista CERT de Stoïk, lo resume con claridad: cuando pensamos en ciberseguridad pensamos en ordenadores y servidores, y nos olvidamos de todo lo demás que está conectado. Un controlador de frío o la climatización de un almacén, muchas veces gestionados por un proveedor externo, son también una vía de entrada, y en muchos casos siguen con la contraseña de fábrica.

Rafe Pilling, director sénior de Investigación de Amenazas en Sophos, admite que no se puede demostrar si los atacantes tenían la intención deliberada de atacar un banco de sangre. Cuando alguien obtiene acceso a este tipo de sistemas, no siempre resulta evidente a qué se dedica la organización afectada ni qué protege el equipo de refrigeración. Y ahí está el problema: una vez que se permite interferir en la infraestructura de frío, las consecuencias pueden ir mucho más allá de encontrar estantes vacíos en un supermercado. Esa misma tecnología puede estar protegiendo sangre, medicamentos y otros materiales sensibles a la temperatura.

Aras Nazarovas, investigador sénior de Seguridad de la Información en Cybernews, amplía el foco: existen riesgos similares en sistemas de calefacción y ventilación, instalaciones de tratamiento de agua, almacenes farmacéuticos y maquinaria industrial. Si los atacantes acceden a ellos, pueden causar estragos en servicios esenciales o dañar mercancías sin pisar las instalaciones. Y añade un matiz clave: cuando un mismo proveedor gestiona los equipos de varias organizaciones, comprometer a uno solo puede poner en riesgo a múltiples clientes a la vez.

Qué significa para una pyme y para su equipo de IT

La primera reacción de muchas pymes será pensar que esto es cosa de grandes infraestructuras sanitarias. No es así. Cualquier negocio con una cámara frigorífica, una cámara de congelación, una caldera, una climatización industrial o un depósito monitorizado en remoto tiene un flanco OT (tecnología de operaciones) que rara vez aparece en el inventario de riesgos. Y casi siempre llega de la mano de un proveedor de mantenimiento que entra por Internet.

El ataque al EFS deja tres ideas que merece la pena interiorizar:

• El proveedor forma parte de tu superficie de ataque. Si tu empresa de frío o de climatización accede en remoto a tus equipos, ese acceso es tan crítico como tu correo corporativo. Pregúntate cómo se autentica, desde dónde y con qué credenciales.
• Las credenciales de fábrica son una puerta abierta. Paneles de control expuestos en Internet con la contraseña original son un clásico. No es un problema teórico: es el escenario que describe el propio análisis del incidente.
• La detección temprana marca la diferencia. En el EFS, las alarmas de temperatura saltaron y permitieron reaccionar a tiempo. Sin monitorización, el incidente habría sido una pérdida material irreparable.

Qué recomendamos hacer desde ForgeNEX

No hace falta montar un SOC industrial para reducir este riesgo. Con un enfoque proporcionado se cubre mucho terreno:

1. Inventariar los equipos OT conectados: cámaras, climatización, calderas, bombas, paneles de control. Incluye quién los mantiene y cómo se accede a ellos.
2. Revisar los accesos remotos de terceros: exigir autenticación individual, doble factor cuando sea posible y registro de actividad. Nada de cuentas compartidas ni VPN genéricas.
3. Cambiar credenciales por defecto y segmentar esos equipos en una red separada de la red corporativa y del WiFi de invitados.
4. Configurar alertas de temperatura y estado que lleguen a alguien con capacidad de actuar, no solo a un panel que nadie mira.
5. Incluir el riesgo OT en el plan de continuidad: qué hacemos si perdemos la cadena de frío, a quién llamamos y cómo trasladamos el producto.

Este caso encaja con una idea que venimos defendiendo en el blog: la seguridad ya no va de levantar un cortafuegos, sino de entender el riesgo de negocio. Puedes releer nuestro análisis sobre ciberseguridad en la pyme: del cortafuegos al riesgo de negocio y complementarlo con la visión de resiliencia de datos, porque al final la pregunta no es solo si te atacarán, sino cuánto tardarás en detectarlo y cuánto perderás mientras tanto.

La buena noticia es que el ataque al EFS no provocó pérdidas gracias a la detección y al traslado preventivo. La mala es que el vector —un panel de frío accesible desde Internet a través de un proveedor— está presente en miles de empresas que ni siquiera lo consideran parte de su ciberseguridad. Revisarlo hoy es más barato que explicarlo mañana.

Fuente: Computerworld. Análisis y adaptación: ForgeNEX.