Heladeras hackeadas: por qué los especialistas en ciberseguridad hablan de un “octubre negro” que todavía no termina

La escena parece sacada de una película de ciencia ficción distópica, pero ocurrió hace solo unas semanas en cientos de supermercados de Francia y otros países de Europa: durante la madrugada, sin que nadie tocara un solo botón en los locales, las heladeras y congeladores empezaron a calentarse de forma coordinada hasta alcanzar los 50°C, arruinando todo lo que almacenaban. Cadenas como Intermarché, Coopérative U, Carrefour, Monoprix y Netto amanecieron con góndolas destruidas, pérdidas millonarias, toneladas de comida echadas a perder e incluso incendios en algunos establecimientos.

Este incidente, que parecía aislado, volvió a ocurrir hoy en otros establecimientos de Bélgica, Suecia, Países Bajos, Luxemburgo, Irlanda y Estonia. La historia se repite. Y seguirá.

No fue un desperfecto, sino un ataque aprovechando la evolución de lo que se suele denominar internet de las cosas: todas esas heladeras tienen conexión a internet para facilitar su gestión remota. Los atacantes no buscaron robar datos de tarjetas de crédito ni secuestrar información contable: fueron directamente por la infraestructura física. Explotaron vulnerabilidades en los controladores térmicos fabricados por la empresa danesa Danfoss, especializada en refrigeración y automatización. Estos dispositivos no solo miden la temperatura, sino que coordinan funciones operativas como los ciclos nocturnos de descongelamiento para eliminar la escarcha.

Las conclusiones fueron claras. Fue un ciberataque masivo operado a miles de kilómetros de distancia. Alguien tomó el control remoto, anuló los comandos de seguridad y ordenó a los equipos subir la temperatura al máximo y mantenerse calientes. Algunas investigaciones revelaron que la brecha se produjo a través de modelos antiguos cuyos firmwares (el sistema operativo de la heladera) estaban desactualizados y ya no podían recibir parches de seguridad para mitigar riesgos identificados. El fabricante dice que no puede hacer nada: son modelos que ya no tienen soporte.

En 2016 comenzó a hacerse popular la internet de las cosas (IoT, por sus siglas en inglés) y la idea de conectar infraestructuras críticas a la red; por ese entonces, un ataque informático a la red de distribución eléctrica de Ucrania dejó a 200.000 personas sin luz. Fue la primera gran alerta de lo que podía ocurrir a medida que sistemas físicos complejos se conectaban a la red en busca de mayor eficiencia y control remoto. Entonces, un malware (BlackEnergy 3) fue el causante de esa interrupción del servicio eléctrico ucraniano.

Lejos de aminorarse, durante la última década, esa promesa de conectividad transformó a las grandes industrias. Mediante redes 5G, fibra óptica, enlaces satelitales y sensores IoT, sectores que operan en entornos remotos o peligrosos —como la minería, el petróleo en Vaca Muerta, la agroindustria o los puertos— lograron gestionar a distancia flotas autónomas, sistemas de riego y grúas, reduciendo costos operativos y hasta riesgos para los trabajadores. Ventajas de una tecnología que mejora la productividad y la eficiencia.

Eso mismo, a nivel industrial, se trasladó a pequeños y grandes electrodomésticos que pasaron a llamarse smart: televisores, aspiradoras robot, autos, heladeras, lavarropas, baby calls… todo conectado, todo accesible a distancia.

Pero el incidente del supermercado, similar al de la red eléctrica ucraniana, deja al descubierto una posible del todo smart: al agregar capas de software e internet a equipos analógicos que antes funcionaban de manera aislada y confiable, no solo se suman facilidades de control, sino también vectores de ataque impredecibles.

Si la proliferación de dispositivos IoT ya había vuelto frágil al mundo físico, y lo expuso a intromisiones, la irrupción de la inteligencia artificial aceleró exponencialmente esta amenaza. Aunque aún no está claro en este caso cómo sucedió el ataque, la IA cambia la ecuación económica del ciberdelito: reduce drásticamente el esfuerzo necesario para auditar código, encontrar fallas no documentadas (zero-days) en sistemas viejos y ejecutar ataques coordinados a escala masiva. Lo que antes requería equipos enteros de hackers altamente capacitados durante meses hoy puede automatizarse en segundos.

“Durante mucho tiempo, muchos de estos dispositivos inundaron el mercado, sin dejar opción a lo no smart. Y encima la IA permitió que personas que no tienen el conocimiento y la moral o la ética puedan hacer ingeniería inversa”, explica Federico Kirschbaum, jefe del laboratorio de seguridad de Xbow. “Hoy más que nunca la ingeniería inversa se democratizó, lo estamos evidenciando con la cantidad de problemas que están surgiendo”, agrega.

“Lo que vemos no es solo un incremento de los ataques. Es que son a más velocidad. Entonces es un combo entre más participantes que lo hacen a mayor velocidad”, completa.

Sheila Berta, especialista en ciberseguridad, CTO en Atomiq, coincide con Kirschbaum y se pregunta algo más profundo: “desde la industria siempre nos planteamos el ‘¿a quién se le ocurrió conectar la heladera a internet?, ¿a quién se le ocurrió conectar el lavarropas?’, o sea, ¿qué necesidad había de hacer eso? Desde el principio, desde que empezó todo esto de smart, siempre nos dijimos: ‘¿a quién se le ocurrió conectar esto?’ Sobre todo en la parte OT crítica”, en referencia a la tecnología que interviene, controla, automatiza procesos de dispositivos físicos como sistemas industriales, robots o maquinaria en general.

Y resume: “La IA facilita el poder de hackear cosas, el poder acelerar los hackeos, el poder que todo sea más fácil, más rápido para un adversario…”.

Un ejemplo claro de este salto cualitativo fue la aparición de Mythos, el modelo de IA desarrollado por Anthropic enfocado en ciberseguridad y capacidades ofensivas, que apareció este año y rápidamente fue frenado y cerrado a un puñado de empresas. Si bien estas herramientas nacieron con el objetivo defensivo de auditar sistemas e identificar brechas antes de que sean explotadas, si en cambio pasaran a manos de actores maliciosos, se convertirían en un arma temible. Mythos iba a ser en principio público y luego se cerró a un puñado de empresas. Los agentes, cuya característica principal es que actúan sin supervisión humana, suman incertidumbre a lo que viene, como ocurrió en la reciente intrusión a Hugging Face en medio de pruebas internas de OpenIA.

El riesgo es grande. Y parece ir creciendo. Por algo muchos especialistas en ciberseguridad llamaron al último mes como “octubre negro”. Tuvo de todo: una gran vulnerabilidad descubierta en PHP, que permitía tomar el control de los servidores web afectados sin necesidad de autenticación y robar datos confidenciales, hasta un hackeo masivo a Binance, que finalizó con el robo de 6300 millones de dólares. Especialistas ciber en diálogo con LA NACION advierten al unísono: “Nunca vimos algo así como lo que está pasando”.

Como advirtió Bill Gates en una reciente entrevista con ABC News: “Los ciberataques serán el desafío más destacable al que nos enfrentaremos. El verdadero peligro no es que la IA se vuelva incontrolable, sino que personas malintencionadas la utilicen. Nos llevaremos muchas sorpresas desagradables”.

FuturIACiberataqueTecnologíaInteligencia artificialSeguridadSeguridad informática

---

Conforme a