Qué nos enseñan los supermercados hackeados sobre el futuro del cibercrimen

A mediados de octubre, cientos de supermercados franceses sufrieron un ataque informático con consecuencias poco habituales. Los hackers no robaron datos ni secuestraron sistemas, sino algo mucho más tangible: alteraron a distancia las temperaturas de las heladeras, haciendo que en algunos casos llegasen a los 50 grados. El resultado fueron alimentos descompuestos, equipos dañados y hasta incendios.

Pero el episodio no terminó ahí. El 2 de noviembre los ataques alcanzaron a supermercados y comercios de Bélgica, Suecia, Irlanda y Países Bajos, entre otros. Todavía no se sabe quiénes son los hackers ni se conoce con certeza su motivación.

Esos episodios son, en gran medida, una bisagra que deja claro que gracias al avance de internet y de la inteligencia artificial muchas cosas, también el delito, han cambiado para siempre.

Durante años, la imagen más extendida de un ciberataque fue la de ladrones de contraseñas que vaciaban cuentas bancarias o delincuentes que secuestraban archivos para cobrar un rescate. Esto no ha dejado de pasar, pero la llegada del internet de las cosas y el impacto de la digitalización en los procesos industriales está ampliando las posibilidades de causar daño. Un sistema de refrigeración conectado a internet permite controlar temperaturas, programar descongelamientos y detectar averías de forma remota.

Ya no se necesita robar un solo dato para ocasionar pérdidas económicas importantes. Basta con manipular el funcionamiento de una máquina, volviendo cada vez más difusa la frontera entre delito informático y físico.

Otro aspecto que esto vino a cambiar para siempre es la definición de infraestructura crítica. Hasta ahora pensábamos en centrales eléctricas, aeropuertos, hospitales o redes de abastecimiento de agua. Sin embargo, con el ataque a los supermercados tomamos conciencia de que nuestra vida depende de una cantidad de sistemas a los que prestamos muy poca atención. Los ataques europeos muestran que no hace falta comprometer una gran instalación estratégica para potencialmente generar el caos, también puede hacer eso mismo hackeando aparatos pequeños en redes de comercios.

Algo similar podría ocurrir por ejemplo con los sistemas de climatización de los edificios, con los ascensores, las cámaras de seguridad de la vía pública o incluso con algunos tipos de maquinarias industriales. Cada vez más objetos tienen la capacidad de conectarse y recibir instrucciones a distancia.

Otra de las preguntas que estos episodios dejan flotando sin responder es, ¿quién es responsable por lo que ocurrió? Un supermercado puede comprar un sistema de refrigeración a un fabricante, contratar su instalación a una empresa y delegar el mantenimiento en un tercer proveedor que supervisa de manera remota.

¿Quién debe garantizar que el sistema sea seguro? ¿El fabricante que desarrolla el software? ¿La empresa que lo instala? ¿El proveedor que lo administra? ¿O el supermercado que lo usa?

Pero hay un último aspecto, menos obvio y más profundo, que el caso de los supermercados europeos pone sobre la mesa. En estos ataques las fronteras geográficas dejan de ser relevantes. Es que la estandarización tecnológica, que durante décadas fue impulsada como una ventaja porque permite reducir costos, facilitar la interoperabilidad y extender las mismas soluciones a millones de usuarios, tiene también una contracara y es que una misma vulnerabilidad puede estar presente en miles de dispositivos distribuidos por todo el mundo.

Los atacantes ya no necesitan identificar y vulnerar a cada empresa, sino encontrar una debilidad en un software o sistema utilizado de forma masiva. Así, un ataque puede alcanzar simultáneamente a supermercados de distintos países, que no comparten propietarios ni infraestructura, pero sí tecnología.

Y ni hablamos sobre inteligencia artificial porque no hay evidencia de que se haya utilizado en estos episodios. Pero podríamos estar seguros de que lo que pasó en Francia funciona como un adelanto de lo que puede ocurrir cuando esa conectividad se combine con herramientas capaces de encontrar y explotar debilidades de forma cada vez más autónoma.