Los piratas informáticos han encontrado un nuevo punto vulnerable: los productos perecederos.
Tomemos como ejemplo el caso de Peter Green Chilled, una empresa británica de transporte refrigerado. Hace unos meses, un ataque de ransomware de interrumpió los suministros de la empresa a los supermercados Tesco, Aldi y Sainsbury’s. Ese mismo mes, un ciberataque contra el gigante lácteo danés Arla Foods provocó trastornos en la logística en toda Alemania. Y el pasado mes de noviembre, un ataque de ransomware dejó fuera de servicio a Blue Yonder , una empresa de software de gestión de la cadena de suministro con sede en Arizona (), lo que provocó la interrupción de los envíos a las tiendas de Starbucks en Norteamérica y a la cadena de supermercados británica Morrison.
Es difícil calcular cuánto perdieron estas empresas a raíz de los atentados, pero, según se informa, las empresas del Reino Unido se enfrentan a un coste total medio de recuperación de 2.58 millones de dólares por incidente en 2025. Los ciberdelincuentes se centran en los sectores en los que el tiempo de inactividad causa mayores perjuicios, y Europa suele servir como punto de partida del ataque antes de que este se extienda a Estados Unidos y a otros lugares.
De hecho, se cree que el colectivo de ciberdelincuentes Scattered Spider utilizó la misma estrategia a principios de este año, recurriendo a una técnica de suplantación de voz ( , también conocida como «vishing») para comprometer los servicios de asistencia técnica de las cadenas minoristas británicas Marks & Spencer, Co-Op Group y Harrods. La Agencia Nacional contra la Delincuencia anunció en julio la detención de cuatro presuntos autores (una mujer de 20 años y tres adolescentes varones, de entre 17 y 19 años).
Aunque los ataques a la cadena de frío han acaparado muchos menos titulares que los incidentes relacionados con minoristas populares, los ciberdelincuentes son conscientes de lo lucrativos que pueden resultar los ataques a este sector. Se han centrado en la cadena de frío porque esta funciona con plazos muy estrictos: cada producto tiene una fecha de caducidad y cada entrega está vinculada a un plazo concreto. Al bloquear el suministro de productos perecederos como la mantequilla, la carne y los medicamentos, los atacantes pueden presionar incluso a las empresas más resistentes para que paguen.
«Esto ya no es un simple oportunismo fortuito», afirma Phil Pluck, director ejecutivo de la Cold Chain Federation, que representa al sector de la logística a temperatura controlada del Reino Unido y cuenta con cerca de 300 organizaciones afiliadas. Según se ha informado, los piratas informáticos habrían orquestado otros 10 ataques o intentos de ataque contra empresas afiliadas en los últimos 18 meses. «Sufrimos ataques constantemente, y los grupos de ransomware son conscientes de lo crucial que es este sector».
La cadena de frío se anima
Para comprender el riesgo, piense en un solo paquete de mantequilla.
«. Estamos constantemente bajo ataque, y los grupos de ransomware saben lo crucial que es este sector.»Phil Pluck, director ejecutivo de la Federación de la Cadena de Frío
Según explica Pluck, el recorrido de la mantequilla puede abarcar docenas de sistemas y cientos de millas. Pasa de los productores a los almacenes y, de ahí, a los centros de distribución regionales, antes de llegar a uno de los 32,012 supermercados de la cadena « » , solo en el Reino Unido. A lo largo del trayecto, ha pasado por una red de sistemas digitales compartidos diseñados para realizar un seguimiento no solo de la ubicación, sino también de la temperatura, el tiempo y las condiciones de manipulación.
Ahora, multiplique ese paquete por los aproximadamente 1.1 000 millones que se venden cada año, sume miles de hospitales y establecimientos de comida rápida, y extienda el proceso a lo largo de 365 días y más de 100,000 camiones con control de temperatura. Cada movimiento depende de una visibilidad compartida entre fabricantes, almacenes, distribuidores y minoristas. Si se pierde esa visibilidad, toda la cadena de suministro de la mantequilla se colapsa. Los ciberdelincuentes lo saben.
[Lea también: Un nuevo modelo descentralizado de ciberdefensa gana terreno en la UE]
«Todos los integrantes de la cadena deben saber dónde se encuentra el producto, en qué estado se encuentra y cuándo debe trasladarse», afirma Pluck. «Si alguna parte de ese sistema deja de funcionar, toda la cadena se paraliza».
Y el bloqueo del sistema es precisamente lo que ocurre en un ataque de ransomware, afirma.
Los autores de ataques de ransomware utilizan productos perecederos como medio de presión
David Mound, evaluador sénior de penetración en SecurityScorecard, una empresa especializada en la de riesgos de terceros, ve claramente esta estrategia.
«Los atacantes saben que incluso las interrupciones breves pueden provocar el deterioro de los productos y pérdidas económicas.»David Mound, especialista sénior en pruebas de penetración, SecurityScorecard
«Los autores de ransomware se centrarán en aquellas organizaciones en las que saben que el plazo para el pago es crucial», afirma. «El hecho de que se trate de una cadena de suministro de productos perecederos agrava aún más esa urgencia».
En la mayoría de los ataques, los atacantes pretenden cifrar datos, sustraer archivos y, a continuación, exigir un pago a cambio del acceso y de su silencio. Sin embargo, en el caso de las cadenas de frío, lo que está en juego se agrava rápidamente.
«Si se distribuyen productos perecederos, como los lácteos, el tiempo de inactividad conlleva un coste inmediato», afirma Mound. «Los atacantes son conscientes de que incluso las interrupciones más breves pueden provocar el deterioro de los productos y pérdidas económicas».
Y eso puede afectar a múltiples marcas de alimentos y otros productos que se distribuyen, así como a los numerosos supermercados y demás establecimientos a los que se realizan las entregas. El fundador de Black Farmer, Wilfred Emmanuel-Jones , declaró a la BBC que, en el momento del ciberataque, la empresa Peter Green Chilled le estaba entregando miles de libras de carne y otros productos perecederos. «Son miles y miles de paquetes de productos que están ahí, y el tiempo no se detiene», afirmó.
Cómo el ransomware ataca su botiquín
No se trata únicamente de la comida. Por ejemplo, las cadenas de frío también gestionan el 20 % de los medicamentos vitales del Reino Unido, lo que las hace igualmente vulnerables, según Pluck. De hecho, durante la pandemia de 2020, el ransomware afectó a la gestión de los pedidos y de las existencias de las vacunas contra la COVID- .
En una reciente encuesta de realizada a responsables de la cadena de suministro del sector farmacéutico, aproximadamente dos tercios señalaron la falta de visibilidad en tiempo real como una grave amenaza para su cadena de suministro, y el 83 % de las empresas utilizan herramientas de seguimiento en tiempo real y de supervisión del estado para mitigar las amenazas y garantizar mejor la integridad de la cadena de frío.
[Lea también: Optimice su seguridad gracias a la visibilidad de las medidas correctivas]
«Cuando se produce un ataque de ransomware, la empresa queda paralizada y, a menudo, sin visión», afirma Pluck. «Los sistemas de gestión de almacenes dejan de identificar el producto». Los camiones de reparto no pueden informar de las entregas que realizan. «La pasada Navidad, un ataque llegó incluso a paralizar la facturación de los proveedores, ya que el sistema no podía registrar las mercancías entrantes».
El ransomware se aprovecha de las deficiencias en la seguridad de la cadena de frío
Una de las razones por las que la logística de la cadena de frío es tan vulnerable: su dependencia de sistemas compartidos y de proveedores externos . Las empresas de la cadena de frío, tanto grandes como pequeñas, se basan en sistemas de gestión compartidos. Cuando varias empresas están conectadas digitalmente, un solo eslabón débil puede poner en peligro toda la cadena.
Esto incluye los sistemas OT heredados, que son antiguos, frágiles y, a menudo, imposibles de parchear.
«Todavía encontramos Windows NT en uso», afirma Mound, refiriéndose a una versión del sistema operativo de Microsoft que hace tiempo que se dejó de utilizar. «Desconectar esos sistemas para actualizarlos interrumpiría las operaciones, por lo que las empresas simplemente intentan aislarlos». Sin embargo, con el paso del tiempo, los contratistas abren brechas en esas barreras mediante VPN (redes privadas virtuales) y el acceso remoto. «Así es como se cuelan los atacantes».
Pluck recuerda un incidente en el que unos atacantes bombardearon a un empleado con cientos de correos electrónicos de phishing del tipo « ». Un mes después, haciéndose pasar por el propio departamento de informática de la empresa, mencionaron el número exacto de mensajes de spam y la convencieron para que les concediera acceso remoto. Seis meses después, un ataque de ransomware paralizó la empresa, lo que provocó pérdidas por valor de millones de dólares.
Estrategias de ransomware para la banda de la cadena de frío
Según Pluck, el sector de la cadena de frío está «ganando terreno rápidamente», pero sigue presentando desigualdades en cuanto a su madurez cibernética. Las empresas más grandes han reforzado sus medidas de seguridad, han contratado un seguro cibernético y han elaborado planes de continuidad. Sin embargo, las empresas más pequeñas suelen carecer del personal y del presupuesto necesarios para organizar una defensa completa.
¿Cuál es el consejo de Mound? Empiece por lo básico.
«La MFA (autenticación multifactorial) es un tema muy importante», afirma. «Aun así, vemos empresas que carecen de ello».
Mound también destaca la importancia de limitar el acceso de terceros mediante políticas de «privilegio mínimo» y de «confianza cero» ( ), de supervisar el comportamiento de los usuarios mediante valores de referencia y alertas del sistema de gestión de información y eventos de seguridad (SIEM), y de evaluar a los proveedores en cuanto al cumplimiento de las normas de seguridad de la Ley de Protección de Datos de los Consumidores de California ( ) antes de su incorporación. «Es necesario que conozca a sus terceros y lo que están haciendo dentro de su red», afirma.
Pluck da más importancia a la preparación que a la improvisación. Recomienda mantener copias de seguridad en papel, configurar sistemas de respaldo básicos basados en la nube y actualizar los manuales de respuesta ante incidentes (con funciones de recuperación ante desastres claramente asignadas) antes de que se produzca una crisis.
«No espere a que se produzca el ataque para averiguar quién se encarga de qué», afirma. «Es importante que lo sepa hoy mismo». Asimismo, insta a las empresas a que se comuniquen rápidamente con los socios de la cadena de suministro cuando se produzca un ataque. «Quizá no quiera contárselo al mundo, pero debe comunicárselo a sus proveedores». «Ellos pueden ayudar, y usted también puede hacerlo cuando se vean afectados».
La formación constante y continuada de los empleados sigue siendo esencial, añade Pluck.
«Las personas siguen siendo el eslabón débil», afirma. «Pero si solo ha perdido los datos de un día y dispone de copias de seguridad de sus sistemas, ya está en ventaja».
La crisis que se avecina para las cadenas de frío en el Reino Unido, Europa y Estados Unidos.
Hasta ahora, la cadena de frío europea ha logrado evitar un colapso catastrófico. Y, hasta la fecha, Estados Unidos solo ha sufrido ataques esporádicos contra su cadena de frío. Por ejemplo, el pasado mes de junio, un ciberataque de tipo « » contra United Natural Foods (UNFI) interrumpió los suministros a tiendas de alimentación como Whole Foods y le supuso a la empresa unas pérdidas de más de 350 millones de dólares.
«. Suministramos más de la mitad de los alimentos del Reino Unido y una quinta parte de sus medicamentos esenciales, y, sin embargo, no se nos reconoce como infraestructura nacional esencial.»Arrancar
Aunque estos ataques puedan parecer incidentes aislados para los consumidores, los expertos advierten de que un ataque coordinado contra varias empresas alimentarias o farmacéuticas, ya sea a escala mundial o en Estados Unidos, podría desencadenar una crisis más grave.
«El público reacciona rápidamente cuando las estanterías se quedan vacías», afirma Pluck. «Lo vimos durante la pandemia. «La diferencia es que, esta vez, puede que no sea algo temporal».
¿Y el Gobierno?
«No están prestando atención», advierte. «Suministramos más de la mitad de los alimentos del Reino Unido y una quinta parte de sus medicamentos esenciales, y, sin embargo, no se nos reconoce como una infraestructura nacional es e. «Eso tiene que cambiar antes de que sea demasiado tarde». Por el contrario, Estados Unidos considera la logística de la cadena de frío como parte de su sector de infraestructuras críticas de alimentación y agricultura, reconociendo su papel esencial a la hora de garantizar el suministro de alimentos y medicamentos.
La resiliencia que se adquiere a través de la experiencia supone un rayo de esperanza. Las empresas que sobreviven a un ataque salen «más fuertes, mejor preparadas y más resilientes», afirma Pluck. Pero esa sabiduría tiene un precio.
«Los que aún no han sido objeto de ningún ataque suelen seguir considerando el coste como un obstáculo», afirma. «Pero el verdadero coste radica en no estar preparado».
