Agencias de EE. UU. alertan sobre ciberataques a sistemas de refrigeración industrial

Los sistemas afectados son ampliamente utilizados en sectores como la salud pública, la industria química, la alimentación y la agricultura, y los sistemas de transporte. Estos se emplean para el monitoreo automatizado y remoto de temperaturas, el registro continuo y la optimización energética.

Los actores maliciosos se enfocan en los controladores electrónicos de temperatura y los controladores de refrigeración comercial presentes en supermercados y almacenes frigoríficos. Su modus operandi incluye la explotación de vulnerabilidades o debilidades en controladores sin parches o accesibles desde internet, permitiendo la alteración remota de ajustes y la activación de ciclos continuos de calefacción y descongelación.

Según la alerta de CISA y las agencias colaboradoras, los vectores de explotación identificados son el bypass de autenticación, la inyección de código arbitrario y configuraciones débiles. La explotación exitosa puede acarrear una serie de consecuencias: cambios de temperatura que afectan la vida útil del sistema, creación de riesgos de incendio, pérdidas generalizadas de inventario, y un posible daño indirecto a los consumidores si los productos se almacenan en condiciones inseguras. Adicionalmente, puede producirse una pérdida de visibilidad de las temperaturas actuales, conocida como condición de denegación de vista.

Para mitigar estos riesgos, las organizaciones autoras urgen a los propietarios y operadores a implementar acciones como la eliminación de la exposición pública a internet de los dispositivos de control, el aislamiento de los dispositivos de tecnología operacional (OT) mediante VLANs dedicadas, el refuerzo de la seguridad de las credenciales (incluida la autenticación multifactor), la aplicación de parches y actualizaciones de firmware, la restricción de accesos mediante listas blancas, el mantenimiento de copias de seguridad fiables y el monitoreo constante de registros. También se recomienda definir y mantener límites razonables para los puntos de ajuste de los dispositivos.