El 5 de noviembre, cinco organismos de Estados Unidos publicaron una alerta sobre ciberataques a los sistemas de refrigeración industrial y de la cadena de frío. El aviso llegó tres días después de un incidente en un proveedor de equipos frigoríficos que afectó a instalaciones de tres centros del servicio francés de sangre, Établissement français du sang (EFS). Las medidas de los organismos estadounidenses son generales y distintas de la respuesta que EFS describió para sus centros.
Qué ocurrió en los centros de EFS
EFS comunicó que el incidente del 2 de noviembre afectó a sistemas de monitorización y control de cámaras frigoríficas en tres de sus centros. La entidad afirmó que no fue atacada directamente: el incidente afectó a un proveedor de equipos frigoríficos. Anomalías alteraron los parámetros de temperatura y desescarche, que quedaron fijados en niveles muy elevados. EFS detalló el incidente y su respuesta en una declaración publicada el 3 de noviembre.
Las alarmas y la vigilancia de EFS detectaron las anomalías. Según la situación, el personal controló o neutralizó los equipos afectados y trasladó los productos a otras instalaciones como medida preventiva. EFS informó de que no hubo impacto en la salud ni pérdidas de productos sanguíneos, y de que la recogida y la distribución continuaron.
En una instalación de frío sanitario, detectar una desviación importa tanto como poder actuar: EFS controló equipos y trasladó productos cuando fue necesario.
Por qué importa la seguridad de la cadena de frío
La tecnología operativa (OT) es el conjunto de equipos y sistemas que supervisan o controlan procesos físicos, como la temperatura de una cámara frigorífica. Si se alteran sus controles, puede cambiar la temperatura de conservación de productos sensibles.
La alerta conjunta de Estados Unidos se refiere a una amenaza más amplia. CISA, el FBI, el Departamento de Salud y Servicios Humanos, el Departamento de Agricultura y el Departamento de Transporte señalaron que se estaban atacando vulnerabilidades y debilidades de controladores de temperatura y refrigeración comercial, incluidos equipos sin actualizar o accesibles desde internet. Entre los sectores que utilizan estos sistemas citaron la sanidad, la industria química, la alimentación y la agricultura, y el transporte. El aviso señala que un ataque con éxito podría provocar cambios de temperatura, daños físicos, pérdidas de inventario, incendios o reducir la vida útil de los equipos. La ficha conjunta se publicó el 5 de noviembre.
Qué medidas recomienda la alerta estadounidense
La ficha conjunta recomienda retirar de internet los dispositivos o sistemas de control, cambiar las contraseñas predeterminadas y reforzar las demás, instalar parches y actualizaciones, y sustituir los equipos antiguos que sus proveedores ya no mantienen.
Otras medidas para entornos sanitarios
NPR informó de que una alerta de Health ISAC para el sector sanitario recomendó separar los controles de refrigeración de las redes informáticas del hospital y de las redes para invitados. También atribuyó al organismo el consejo de formar al personal para tomar el control manual de los equipos ante una emergencia y mantener copias de seguridad sin conexión.
Entre las medidas adicionales que NPR atribuyó a Errol Weiss, responsable de seguridad de Health ISAC, figuran las alarmas térmicas independientes y los cortes cableados que no puedan eludirse mediante órdenes de software.
