Francia: hackearon las cámaras de frío con plasma de tres sitios del servicio nacional de sangre

En la noche del domingo 1 al lunes 2 de noviembre, atacantes entraron al software de supervisión remota de las cámaras frigoríficas que provee Coolworld, una empresa europea que alquila y mantiene equipos de refrigeración, y alteraron la configuración de esas cámaras en tres sitios regionales del Établissement français du sang (EFS), el organismo público que se encarga de colectar, procesar y distribuir la sangre en Francia. Según el comunicado del EFS, los umbrales de temperatura y de descongelación quedaron fijados en niveles muy altos. Un técnico de guardia y las alarmas detectaron la suba, el personal intervino y, de acuerdo con el organismo, no se perdió ningún producto sanguíneo ni hubo consecuencias para los pacientes.

El caso lo dio a conocer el semanario Le Canard enchaîné el martes 3 de noviembre. Esa misma tarde el EFS emitió un comunicado y el gabinete de la ministra de Salud confirmó el episodio. Según publicó Le Canard enchaîné, las cámaras, que habitualmente trabajan a -30 °C, fueron programadas para llegar a 110 °C. Ese número no figura en el comunicado del EFS, y ninguna fuente informó qué temperatura se alcanzó realmente.

Qué pasó

No atacaron directamente al EFS, sino a su proveedor de frío. El organismo explicó que se vulneraron los sistemas de supervisión y control de las cámaras equipadas con la solución de ese proveedor. El nombre de Coolworld lo publicó primero Le Canard enchaîné, y después la propia empresa difundió un comunicado en el que admitió un incidente de ciberseguridad en su software de monitoreo remoto. El EFS no nombró a la compañía.

Según franceinfo, los congeladores recibieron la orden de descongelarse. En esas cámaras había bolsas de plasma para transfusiones, plasma para fabricar medicamentos y muestras de donantes que se usan en biobancos y en la vigilancia sanitaria de las transfusiones. Le Canard enchaîné y La Dépêche du Midi señalaron que al principio el EFS mencionó solamente las muestras y que más tarde reconoció que también había plasma congelado para transfusión.

El EFS le dijo a Le Canard enchaîné que "un técnico de guardia constató durante la noche del domingo al lunes una suba de temperatura en las cámaras frías" (traducción propia). La alerta llegó a la sede central, según franceinfo.

La respuesta

Según el gabinete de la ministra de Salud, se cortó el acceso remoto a los equipos afectados, se reforzó el control de la temperatura en todas las instalaciones y los productos se pasaron a otros equipos. De acuerdo con franceinfo, en dos de los sitios el ataque se neutralizó y en el tercero el plasma se trasladó a otros congeladores como medida de precaución.

El EFS informó que la colecta de sangre y la distribución a los hospitales siguen funcionando con normalidad. La investigación está en manos de la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), el organismo francés de ciberseguridad, y del Ministerio de Salud, junto con los equipos técnicos del EFS. Según Sciences et Avenir (AFP) y actu.fr, el ministerio todavía analiza cómo actuaron los atacantes, cuántos equipos pueden estar comprometidos en total y cuándo y cómo se volverán a poner en servicio las instalaciones, y anunció que dará un nuevo balance.

No es ransomware: es sabotaje físico

La diferencia con otros incidentes es que, según lo que se publicó, no se cifraron archivos, no se robaron datos ni hubo pedido de rescate, como ocurre con el ransomware (los programas que bloquean sistemas para extorsionar a la víctima). El blanco fue un equipo físico. Lo que se vulneró es lo que se conoce como tecnología operativa (OT) o internet de las cosas (IoT): aparatos industriales conectados a la red para que los técnicos los controlen a distancia. Si están expuestos y mal protegidos, cualquiera que los encuentre puede manejarlos.

Coolworld atribuyó el problema a una falla en un componente de otro proveedor. La empresa no dijo cuál es ni de qué marca, y no está claro si los atacantes entraron a la infraestructura de Coolworld o solo al software de ese tercero.

Las voces

Frédéric Pacoud, presidente del EFS, le dijo a franceinfo: "No es un robo de datos, no es el compromiso de un sistema de información, es apuntar a algo muy físico". Y agregó que el episodio "no hace más que confirmar que debemos tener el nivel de vigilancia máximo" (traducciones propias).

El comunicado del EFS indica que "no se identificó ningún impacto sanitario" y que no hay "ninguna pérdida de productos sanguíneos" para declarar. El Ministerio de Salud le dijo a Le Canard enchaîné: "Hay cero consecuencias operativas, porque la situación fue detectada". El gabinete de la ministra sostuvo, según la AFP, que la seguridad de las reservas "pudo preservarse gracias a los dispositivos de vigilancia y de alarma de las instalaciones".

Coolworld, en un comunicado que citó AP, afirmó que la vulnerabilidad de la que hablan los medios "corresponde a un componente de un proveedor externo y estaba fuera del control directo de Coolworld". También aseguró que "solo un número limitado de unidades de Coolworld resultó afectado" y que la empresa "respondió con rapidez y tomó las medidas adecuadas" (traducción propia).

Benoit Grünemwald, experto de la empresa de seguridad ESET, explicó a franceinfo que si las heladeras están conectadas a internet para que los técnicos las operen a distancia, "los cibercriminales también pueden entrar".

El contexto: los ataques a heladeras de supermercados

El caso se conoció semanas después de una serie de sabotajes a sistemas de refrigeración de supermercados en Europa. No hay ningún vínculo confirmado entre esos ataques y el del EFS, y no se identificó el componente que se usó en este caso.

Según AP, el grupo Ahold Delhaize calcula que los ataques de octubre le restarán hasta 250 millones de euros en ventas en el cuarto trimestre. Tampoco para la ola de supermercados hay una atribución formal. Un vocero de la firma Sekoia le dijo a la BBC: "Hasta la fecha, no tenemos ninguna evidencia técnica que indique la participación de grupos de habla rusa". Ryan Dewhurst, de Previdian, señaló ante el mismo medio que el hecho de que "todos estos frigoríficos fueran atacados simultáneamente sugiere planificación y coordinación".

¿Me afecta?

Según el EFS y el Ministerio de Salud, ningún producto quedó dañado y no hay transfusiones comprometidas. Las colectas siguen funcionando, así que donantes y pacientes en Francia no tienen que hacer nada.

Por qué importa y qué revisar

El caso muestra que un equipo de frío conectado puede convertirse en una vía de sabotaje, y que el punto débil puede estar en un proveedor o en el componente de un tercero. Para hospitales, laboratorios, farmacias, cadenas de frío y comercios con equipos de este tipo, las medidas que tomó el EFS y lo que se sabe del ataque marcan algunos puntos para revisar:

• Accesos remotos: saber qué equipos se pueden manejar desde internet, quién tiene acceso y si ese acceso hace falta. Lo primero que hizo el EFS fue cortarlo.
• Alarmas y guardias: tener alertas de temperatura que funcionen aunque el sistema de control esté comprometido, y personas que las atiendan de noche. En este caso, el técnico de guardia y las alarmas fueron los que evitaron las pérdidas.
• Proveedores: preguntarle al proveedor de mantenimiento qué software y qué componentes de terceros usa, cómo los actualiza y cómo avisa si aparece una falla.
• Plan de contingencia: tener equipos de respaldo para trasladar los productos rápido, como se hizo en el tercer sitio.

Lo que falta saber

• Cuáles son los tres sitios y en qué ciudades están. Le Canard enchaîné solo mencionó que Coolworld equipa contenedores del EFS en la región de Bourgogne-Franche-Comté, entre otras.
• Cuántas unidades de plasma estuvieron en riesgo y qué temperatura llegaron a alcanzar las cámaras.
• Qué componente de terceros tenía la falla y si tiene relación con lo que ocurrió en los supermercados.
• Quién está detrás del ataque: nadie lo reivindicó y las autoridades no dieron pistas.
• Si hay una denuncia penal o una causa judicial abierta. No se publicó información al respecto.
• Si hay otros clientes de Coolworld afectados.
• El nuevo balance que prometió el Ministerio de Salud. Hasta ahora, la ANSSI no difundió un comunicado propio.

Versiones que no coinciden

• Clarín ubicó el ataque el martes; el EFS, AP, Le Canard enchaîné y franceinfo lo sitúan en la noche del domingo 1 al lunes 2 de noviembre. El martes 3 se publicaron la nota del Canard y el comunicado.
• Times Now habló de '230 grados': son 230 °F, la conversión de los 110 °C, no otro dato.
• Algunos medios hablaron de 'tres bancos de sangre' o de un 'banco central de sangre'; en realidad se trata de tres sitios regionales de un mismo organismo nacional, el EFS.
• Le Canard enchaîné dijo que Coolworld 'fue hackeada'; Coolworld lo atribuye a una vulnerabilidad en un componente de un tercero. No está claro si se comprometió su infraestructura.
• Al principio el EFS mencionó solo muestras de donantes y después reconoció que también había plasma congelado para transfusión (Le Canard enchaîné, La Dépêche).
• No se informó si las cámaras llegaron a 110 °C o solo fueron programadas para alcanzar esa temperatura.
• BleepingComputer relaciona la ola de supermercados con controladores de una marca puntual; nadie confirmó qué componente se usó en el caso del EFS.