No existe el mito urbano que dice que los desarrolladores de sistemas siempre ponen un bug en sus creaciones para que los "necesiten" de vez en cuando? no sera lo mismo aqui a otra escala?
IoT de Mierda y las heladeras francesas
Un atentado digital sobre heladeras de cientos de supermercados, un golpe nefasto a la cadena de frío, almientos perdidos, pero la pregunta que me hago es ¿Por qué mierda tendrías las heladeras conectadas a Internet y accesibles desde afuera?
Ah si, el "internet de las cosas" que siempre protesto ha pegado de nuevo, llevo una década puteando por esto, pero al parecer seguirá sucediendo, ahora le pasó a los franceses en las heladeras y es otro caso de guerra híbrida, pero ¿Es guerra cuando vos dejaste todo tan servido para el ataque? ¿No podías meter todo dentro de una VPN?
PS: este tema quedó medio olvidado porque a los pocos días empezaron las "protestas" que ocuparon titulares, sin embargo me parece super interesante y para no dejar de lado.
Contexto: un "cyberataque" (cómo le encanta a los medios poner cyber porque creen que todavía estamos en los 90s) dejó sin comida por unos días a los franceses.
El ataque consistió en subir la temperatura de las heladeras y freezers durante la noche, hasta forzando algunas a los 50ºC, y dejando pudrir todo su contenido.
No en un supermercado, en cadenas enteras, alcanzando varios cientos, Intermarché, Netto, Carrefour, Monoprix y E.Leclerc, las más grandes del país.
¿Cómo? Atacando el software provisto por la empresa danesa Danfoss que maneja todas las heladeras.
Una vez más, por "comodidad" se centraliza en un software cerrado y seguramente poco mantenido, se crea un sólo punto de quiebre, se entrega todo el sistema a un ataque único y fácil de ejecutar. Una cadena enorme, gruesa, pero con un sólo eslabón débil fácil de atacar y suficiente para romper todo.
Hablamos de más de 500 supermercados, no la totalidad, apenas menos del 5%, pero entiendan que Francia es un país enorme donde viven 70 millones de personas, no es para desmerecer.
De hecho, el hack arruinó comidas, pero podría haber sido peor, calentar-enfriar-calentar-enfriar en un ciclo de putrefacción que muchos no hubiesen detectado podría haber sido un ataque ya no al supermercado sino a la gente directamente con unos cuantos intoxicados como resultado.
La "detección" fue de la forma más mundana posible, en varias tiendas los empleados de reposición nocturnos, ya que el ataque comenzó a las 11 de la noche, notaron el agua saliendo de varios freezers, no uno, todos. Esto fue para las 4 de la mañana, si no lo hubiesen notado podrían hasta haber congelado todo lo podrido de nuevo revirtiendo el ataque sin que muchos lo notaran.
¿Por qué sucedió esto?
Como con casi todo software de controlador de otros equipos, nadie los actualiza, y con actualizar no sólo me refiero al software sino que se deja hardware obsoleto que no recibe más parches de seguridad.
En este caso los modelos AK-SM800 y AK-SC355 que usaban no recibían parches de seguridad hace años, el firmware era viejo y fácil de romper, justamente lo que hicieron.
Con vulnerabilidades conocidas, pero todavía funcionando, las cadenas de supermercados dejaron estos equipos funcionar más allá de su vida útil ya que no existía incentivo alguno para reemplazarlos. ¿O sí?
Hace dos meses se expusieron las vulnerabilidades del AK-SM800 que es, literalmente, un colador, no es de extrañar que alguien se pusiera manos a la obra para usarla en el mundo real.
Danfoss publicó un patch para muchas de estas vulnerabilidades, pero no sirve para hardware más viejo del mismo modelo, equipos que todavía seguían instalados en los supermercados.
Después de años y años de ver cómo se hacen ataques de ramsomware estas empresas gigantes siguen dejando de lado la seguridad de sus sistemas, conectándolos a Internet sin protección alguna, fuera de VPNs y manteniendo software y hardware obsoleto porque actualizarlo "es caro".
No son empresas en quiebra, podrían tranquilamente hacerlo, pero no entra en el esquema mental de empresa alguna, menos de accionista, la idea de hacer algo para mejorar si no involucra mayores ganancias, un error conceptual que se puede pagar muy caro, en este caso matando gente.
No, no murió nadie, pero esto es tan sólo el comienzo, la guerra híbrida que realiza Rusia contra Europa o China contra EEUU, los árabes contra todo el mundo o los coreanos del norte para tratar de ganar algo de dinero 😋, todo eso expone el hermoso mundo de fantasía que hemos creado alrededor de una idea fantástica, fabulosa y falsa: el IoT de mierda sólo funciona si todos son Heidi persiguiendo mariposas en los Alpes. La realidad es bien distinta.
Veremos las notas periodísticas hablando de "millones en pérdidas" como si fuese la única realidad relevante y el único "costo" de todo esto, pero si miramos en profundidad vamos a encontrar otras preocupaciones más legítimas porque el daño que se pudo haber provocado, siendo apenas heladeras, lo podemos extrapolar a otros sistemas más críticos también controlados por dispositivos expuestos a la red.
PS: podría estar hablando de las supuestas "protestas" en Francia, pero hoy quería hablar de las heladeras 😅
Si te gustó esta nota podés...
Categoría: Tecnología
Etiquetas: ataque cadena de suministro comida francia hack hacking heladeras iot peligro sociedad suministro
Escrito por Fabio Baccaglioni
Otros posts que podrían llegar a gustarte...
Comentarios
-
-
jaja no, no en este caso al menos, eso es de cuando había UN desarrollador sólo para toda la empresa, aquí justo es una empresa entera de microcontroladores.
el tema, que explican en el link de claroty es que el usuario era "admin" y la clave era "adminXX" con el XX siendo una combinación de fecha y hora y cosas así, entonces, con un poquito de trabajo, podías embocarle a la clave y luego tenías control total.
esto lo parchearon, pero depende de quien implementó en cada supermercado, cero ganas de cambiarle el user por defecto, es muy común como error.
Lo que yo no entiendo es por qué coño tenés que poner todas las heladeras abiertas a Internet sin una VPN, el eslabón más flojo de toda la cadena fue "la paja" -
Ariel
20/10/2026 - 11:08:50
Trabajo en un hospital. Hay un par de docenas de heladeras, (vacunas, reactivos, medicamentos, Etc), es tan necesario conectar todo a Internet? La respuesta es claramente no!, si bien se puede usar para monitorear y controlar es demasiada tecnología aplicada a algo demasiado simple. En mi caso las heladeras tienen una alarmita programable qué se activa con un par de grados en caso de falla, resultado. Se saca lo que la heladera contenga y se coloca en otra que este más vacía. Estamos con teléfonos inteligentes. Heladeras inteligentes. Relojes inteligentes. Inteligencia artificial. Y todo interconectado entre sí. Ha llegado el momento d epreguntarnos si tanta interconexion es buena y si todo debe estar conectado a Internet
-
Lo que no termino de entender es cual es la ventaja de tener todo conectado a internet.
Controlar la temperatura? eso lo pueden hacer con un sistema cerrado y listo.
No le encuentro un beneficio suficientemente válido, como para conectar todo a internet. -
Dario
20/10/2026 - 11:30:17
En Europa esta todo controlado, quizás el ente regulador monitoree a distancia, el fabricante de la heladera también, etc...
Conozco una empresa de alfajores que en su línea de producción de procedencia italiana, en el contrato la tiene que tener on line 24/7, aunque sea de ellos y la hayan pagado, manda la telemetría a Italia todo el tiempo. Y desde allá configuran parámetros.
Los centros de mecanizado modernos igual, los robots Kuka, ABB, etc igual...
-
Está todo atado con alambre. La cantidad de sistemas así sin parches o con usuarios por defecto, es incontable. Y muchos expuestos directamente. Sistemas que están detrás de cualquier cosa en cualquier rubro. Es un gran problema que solo va a crecer lamentablemente.
En las empresas y organismos no hay conciencia real de la seguridad en general, aunque se cumple con lo mínimo, no forma parte integral de las organizaciones.
-
Muy ingenuo pense que esto solo sucedia en peliculas, donde un super hacker, entra en sistema del gobierno o empresas y las manipulas a piacere. Como en las peliculas de Rapido y furioso, en donde en una controlan todos los autos de la ciudad y persiguen a Toreto. Ahora que los autos tienen tanta tecnologia, no me estrañaria que sea posible en un futuro cercano
podría estar hablando de las supuestas "protestas" en Francia, pero hoy quería hablar de las heladeras
Me gustaria saber tu opinion Fabio acerca de lo que sucede en Francia. Vivo en un frasco de mayonesa
y no entiendo un pomo cual es el origen de la protesta y porque tanto quilombo hay allá.
Espero puedas hacer próximamente una nota acerca de lo que sucede en Francia
-
Galbi
20/10/2026 - 16:17:33
Mientras Fabio procesa su opinión, empezá por acá:
https://crashoil.blogspot.com/2026/10/lo-perentorio.html
que seguramente, él no va a estar de acuerdo, pero...
Como para tener otro punto de vista.