El Departamento de Defensa de Estados Unidos investiga si los fallos de refrigeración registrados en agosto en tiendas de instalaciones militares se debieron a un ciberataque. La pesquisa se produce después de que en Francia se manipularan a distancia sistemas de refrigeración de supermercados, con alimentos estropeados e incendios. Aunque los equipos y el tipo de fallo parecen similares, no hay pruebas que relacionen ambos casos y las autoridades estadounidenses no han confirmado que sus incidentes fueran fruto de un ataque informático.
El impacto potencial va más allá de la interrupción de los equipos: cuando se rompe la cadena de frío, las pérdidas de alimentos suelen ser irreversibles. Las tiendas militares abastecen de productos de uso diario al personal y a sus familias, por lo que una interrupción prolongada también podría limitar el acceso a bienes básicos dentro de las bases.
Fallos en tiendas de siete instalaciones militares
La investigación conjunta está encabezada por el Servicio de Investigación Criminal del Departamento de Defensa, dependiente de la Oficina del Inspector General. El Pentágono declinó comentar una pesquisa policial en curso por motivos de seguridad.
En agosto se notificaron problemas de refrigeración en tiendas de al menos siete instalaciones: Fort Irwin, en California; la Base Aérea Holloman, en Nuevo México; la Estación Naval Newport, en Rhode Island; la Base Aérea Little Rock, en Arkansas; la Base Aérea F. E. Warren, en Wyoming; la Base Aérea Robins, en Georgia, y Fort Huachuca, en Arizona.
Estas tiendas suelen vender productos subvencionados al personal militar y a sus familias, con precios generalmente alrededor de un 25% inferiores a los de los supermercados civiles. Una avería prolongada puede generar costes de reparación, pérdidas de inventario y problemas de abastecimiento en las bases. La información pública no detalla el valor de las pérdidas en Estados Unidos ni si los investigadores han encontrado indicios de acceso no autorizado a los equipos.
Christopher White, profesor asociado de seguridad nacional y preparación ante emergencias en la Virginia Commonwealth University, afirmó que la similitud entre los fallos de supermercados franceses y tiendas militares estadounidenses en un intervalo de unos dos meses merece atención. Sin embargo, señaló que esa coincidencia no demuestra que haya un mismo responsable ni siquiera que los incidentes en Estados Unidos fueran ciberataques.
En Francia, pérdidas estimadas en 270.000 euros
En octubre, los sistemas de refrigeración y congelación de cientos de supermercados franceses fueron manipulados durante la noche y sus temperaturas superaron los 122 °F. Se estropearon alimentos y se registraron incendios en algunos establecimientos. Entre las cadenas afectadas figuran 80 tiendas de Carrefour, unas 24 de Monoprix y 150 de Intermarché. La Fiscalía de París calificó el incidente de ataque «a gran escala»; también se notificaron fallos similares en otros puntos de Europa.
Intermarché y E.Leclerc cifraron conjuntamente las pérdidas de inventario en unos 270.000 euros, equivalentes a cerca de 300.000 dólares. White destacó que el deterioro de los alimentos supone un coste directo y difícil de revertir: reparar el equipo no recupera los productos dañados por las temperaturas inadecuadas.
Un aviso de seguridad de las autoridades francesas indicó que los incidentes afectaron a controladores remotos de refrigeración, incluidos equipos Danfoss de las series AK-SM y AK-SC, y dispositivos xweb y Dixell xweb de Copeland. Los sistemas utilizaban firmware desactualizado y, según la hipótesis planteada, los atacantes podrían haber accedido a ellos por internet aprovechando vulnerabilidades. Francia y Estados Unidos también cooperan en la investigación de los supermercados. Compartir información sobre técnicas y equipos puede ayudar a las pesquisas, pero no prueba que los incidentes de ambos países estén relacionados.
Los controladores conectados pueden abrir una vía de acceso
Nadia Kostiuk, profesora adjunta del Instituto de Estrategia y Tecnología de la Universidad Carnegie Mellon, señaló que los dispositivos conectados incorporan cada vez más funciones, aunque la seguridad no siempre avanza al mismo ritmo. Los controladores de refrigeración pueden convertirse en un punto de entrada si el firmware no se actualiza a tiempo o las medidas de acceso son insuficientes. Kostiuk indicó que los fabricantes deben integrar la seguridad desde el diseño y que los operadores deberían revisar las posibles vías de ataque en los equipos que ya están instalados.
White añadió que las cadenas comerciales suelen utilizar equipos similares en distintos establecimientos. Si un atacante localiza un sistema expuesto, podría intentar aplicar la misma técnica en otros lugares. Dado que un fallo puede estropear mercancía e interrumpir el suministro, estos sistemas pueden resultar atractivos para quienes buscan causar efectos concretos.
Gregory Winger, profesor adjunto de relaciones internacionales y ciberseguridad en la Universidad de Maryland, condado de Baltimore, explicó que actores vinculados a Estados como Rusia, China, Irán y Corea del Norte realizan a veces operaciones informáticas que parecen inconexas, pero que podrían estar relacionadas. A su juicio, compartir indicadores y detalles técnicos entre países aliados es importante para identificar esa actividad. Aunque finalmente se determine que los fallos en las tiendas militares estadounidenses y los de los supermercados franceses tuvieron responsables distintos, la investigación conjunta entre Estados Unidos y Francia puede facilitar el intercambio de información.
La continuidad del suministro también forma parte del riesgo
El Centro de Estudios Estratégicos e Internacionales registró más de diez incidentes cibernéticos importantes solo en septiembre. Cybersecurity Ventures estima que el ciberdelito podría costar a la economía mundial 10,8 billones de dólares este año, más del triple de los 3 billones calculados para 2015. El rápido desarrollo de la inteligencia artificial y el aumento de dispositivos domésticos e industriales conectados a internet amplían tanto las capacidades de ataque como el número de posibles objetivos.
La logística militar también depende del suministro constante de alimentos, productos de higiene y otros artículos esenciales. El portaaviones USS Abraham Lincoln regresó este mes a San Diego tras un despliegue de 265 días. Durante su misión relacionada con la guerra de Irán, la tripulación afrontó, entre otras dificultades, escasez de alimentos y productos de higiene, con efectos sobre la moral y la salud mental. Esa experiencia pone de relieve la importancia de mantener el abastecimiento, pero no hay información que vincule al portaaviones con la investigación sobre refrigeración.
El Pentágono no ha publicado conclusiones ni confirmado la causa de los fallos en las bases estadounidenses. La investigación debe determinar si hubo intrusiones en las redes, si los equipos presentaban vulnerabilidades explotables a distancia y si los casos de Estados Unidos y Francia comparten algún vínculo técnico u operativo.