Esta semana, los refrigeradores de los supermercados en al menos 10 países europeos se vieron afectados por una serie de ciberataques que provocaron un aumento de las temperaturas y arruinaron los alimentos, con pérdidas que ascendieron a cientos de miles de euros.

El ataque se produjo inmediatamente después de uno en Francia y los Países Bajos en Octubrecuando varios cientos de tiendas fueron afectadas de manera similar.

En conjunto, los dos ataques a dispositivos conectados a Internet fueron una clara señal de que Europa no está preparada para la niveles crecientes de ciberataques que se avecinan. Pero eso no significa que la respuesta sea una mayor regulación.

En una entrevista con El ParlamentoSven Herpig, asesor principal de ciberseguridad y amenazas emergentes en el grupo de expertos tecnológico europeo Interface, dijo que los ataques demostraron que la Unión Europea y los estados miembros necesitaban redoblar esfuerzos para hacer cumplir las leyes de ciberseguridad existentes y garantizar que las empresas y los proveedores de infraestructura crítica de todo el bloque tomaran medidas fundamentales de seguridad de TI.

¿Qué vulnerabilidad explotaron los piratas informáticos?

En pocas palabras, el principal problema era que los frigoríficos estaban conectados directamente a Internet. Uno de los principales vectores de ataque fue que los atacantes conocían las credenciales, es decir, el nombre de usuario y la contraseña. Es un nombre de usuario estándar que está estandarizado en todos los dispositivos. Era fácilmente adivinable, lo que significa que se podía explotar a escala a través de Internet de forma remota.

En el otro extremo había un dispositivo que interactúa con el mundo físico, lo que por supuesto causó un impacto físico. Esto es casi tan malo cuando hablamos de este tipo de operaciones de ciberataque.

¿Por qué Europa no estaba mejor preparada?

Creo que en este momento tenemos suficiente regulación que cubre la ciberseguridad en Europa. Deberíamos dar un paso adelante en nuestros esfuerzos de implementación, y ese es el problema que estamos viendo aquí. Todas las mejores prácticas y directrices que se ven para la protección de infraestructuras críticas no fueron seguidas por quien operaba estos sistemas de refrigeración. Estas son prácticas de seguridad básicas que conocemos desde hace 10 o 20 años.

Para la segunda ola de este mes, no entiendo en absoluto por qué todavía hay estos dispositivos en Internet de forma no segura. Todos los que manejan estos dispositivos en cualquier supermercado deberían haberse preguntado después de la primera ola: ‘¿Estamos usando estos sistemas? He visto esto en las noticias. ¿Hicimos algo al respecto? No creo que haya ninguna excusa para quien fue golpeado en la segunda ola.

¿La IA está potenciando este tipo de ataques?

En realidad, no. Este fue un vector de ataque súper fácil. Estos dispositivos están conectados a Internet con un mecanismo de seguridad muy débil. No hay necesidad de herramientas de inteligencia artificial para encontrarlos. La debilidad fueron las credenciales y la falta de autenticación multifactor. Esa no es una vulnerabilidad o exploit loco que deba ser creado por la IA.

Pero esta sigue siendo una historia de gran impacto. Quien opera los sistemas no hizo lo mínimo en seguridad informática. En realidad, es lo opuesto a una historia apocalíptica de la IA. Esta es básicamente una historia de seguridad de TI. En este momento, ni siquiera necesitamos la IA para realizar malos ataques.

¿Existe alguna infraestructura similar que pueda ser atacada?

Hemos visto este tipo de operaciones dirigidas a dispositivos de Internet de las cosas, como televisores inteligentes, refrigeradores, hornos, lo que sea. Todo lo que conectes a Internet sin los controles de seguridad adecuados está en riesgo y muy probablemente haya estado comprometido en el pasado. Estamos avanzando hacia la digitalización de todo lo que podemos digitalizar, pero al mismo tiempo, no estamos mejorando significativamente la seguridad informática de estos dispositivos.

¿Qué medidas pueden tomar las personas para proteger los dispositivos de Internet de las cosas?

Tienes que trabajar con las cartas que te reparten. Lo único que las personas pueden hacer es ejecutar actualizaciones oportunas sobre estas cosas y reemplazar los dispositivos cuando ya no se puedan actualizar. Cambiamos la regulación de la UE de alguna manera con, por ejemplo, la Ley de Resiliencia Cibernética, lo que nos permitirá tener un mejor soporte y más seguridad por parte de los proveedores con el tiempo. Ese es un buen paso.

¿Hay cambios de política que deban realizarse aquí?

Tenemos suficiente regulación a nivel de la UE. Realmente es una cuestión de hacer cumplir las leyes de ciberseguridad y asegurarse de que las entidades críticas, las entidades muy críticas, las infraestructuras críticas, todos los incluidos en la legislación existente, realmente estén haciendo su trabajo en la implementación de estándares de seguridad de TI adecuados, y si no lo hacen, serán multados y castigados para que la próxima vez lo hagan.

Siga los acontecimientos que están dando forma a Europa