Supermercados de toda Europa se han visto afectados por presuntos ciberataques dirigidos contra frigoríficos y congeladores, lo que ha planteado preguntas más amplias sobre la seguridad del hardware conectado a internet. Los dispositivos inteligentes pueden incluir electrodomésticos, sistemas de calefacción y equipos industriales, todos los cuales pueden gestionarse a distancia cuando están conectados a internet.

El acceso a internet no significa automáticamente que un dispositivo pueda ser tomado fácilmente. Por lo general, los principales fabricantes invierten mucho en seguridad, aunque anteriormente se han encontrado vulnerabilidades en productos conectados. En 2015, unos investigadores demostraron que un fallo en un frigorífico inteligente de Samsung podía permitir interceptar el tráfico de internet.

No hay pruebas de que los electrodomésticos domésticos fueran el objetivo de los incidentes en los supermercados. Sin embargo, Ciaran Martin, antiguo director ejecutivo del Centro Nacional de Ciberseguridad del Reino Unido, afirmó que los fabricantes debían hacer más para incorporar la seguridad a los productos conectados. Aconsejó a los consumidores instalar actualizaciones y activar la autenticación multifactor cuando estuviera disponible.

La legislación británica introducida en abril de 2024 exige que los fabricantes de determinados dispositivos inteligentes de consumo cumplan unas normas mínimas de ciberseguridad, incluidas reglas sobre contraseñas y actualizaciones de seguridad. El NCSC afirmó que estaba trabajando con socios internacionales y el sector para comprender los incidentes en los supermercados y que no tenía conocimiento de ningún impacto en el Reino Unido.

Investigadores de UK Cyber Defence han identificado más de 800 interfaces de refrigeración y control de edificios vinculadas a minoristas británicos a las que se puede acceder a través de la internet pública. La accesibilidad pública no significa necesariamente que los sistemas puedan ser pirateados, pero las contraseñas débiles o las vulnerabilidades de software podrían aumentar su exposición a los atacantes.

Los incidentes también han centrado la atención en quién es responsable de proteger los equipos utilizados por los minoristas. Tom Hegel, de SentinelOne, afirmó que las empresas debían establecer quién se encarga de la seguridad de esos sistemas, en lugar de limitarse a determinar quién los repara. Advirtió que cambiar un ajuste de control podría dañar las existencias físicas, convirtiendo una función ordinaria, como la descongelación, en un método de interrupción.

Los riesgos potenciales se extienden más allá de las tiendas y los hogares. La tecnología conectada se utiliza para gestionar vehículos, maquinaria industrial, centrales eléctricas y redes de agua. El experto en ciberseguridad Ken Munro citó una demostración de 2015 en la que unos investigadores accedieron a distancia a un Jeep a través de su sistema de entretenimiento conectado a internet, lo que impulsó mejoras en la seguridad de los vehículos.

Munro afirmó que, en general, las empresas de servicios públicos del Reino Unido protegían eficazmente las conexiones remotas, aunque las normas variaban a escala internacional. Señaló como una preocupación particular a las empresas de servicios públicos más pequeñas y con financiación insuficiente que todavía pueden depender de equipos antiguos. Olivier Daloy, de Zscaler, afirmó que, sin las protecciones adecuadas, cualquier fábrica o infraestructura conectada a internet, incluidos los sistemas operados por fabricantes de automóviles, proveedores de electricidad o redes de transporte, podría afrontar riesgos comparables.

Fuentes: BBC News World.