Los ataques a congeladores de tiendas suecas revelan fallos en el acceso de proveedores

Según Techtidningen, los ciberataques contra los sistemas de refrigeración de supermercados suecos elevaron la temperatura de las cámaras frigoríficas y de congelación hasta unos 50 grados Celsius. Hubo que desechar alimentos de gran valor. En octubre, unos 700 supermercados franceses sufrieron ataques similares.

Aún no se ha esclarecido del todo cómo accedieron los atacantes a los sistemas de las tiendas suecas. Dos grupos de hackers prorrusos se atribuyeron los ataques. Los expertos en seguridad Johan Nordin, de Evolvit, y Joakim Berghman, de Mentcon, dijeron a Techtidningen que los incidentes reflejan un problema más amplio: muchas empresas no controlan plenamente el acceso remoto de proveedores externos.

Los sistemas de refrigeración, ventilación, alarma y los equipos de producción son algunos de los sistemas que los proveedores pueden mantener a distancia. Según los expertos, el acceso puede seguir activo durante años tras una instalación o un servicio, a veces sin que la empresa sepa qué cuentas existen ni quién las utiliza. Entre los fallos habituales figuran las contraseñas predeterminadas, las cuentas compartidas, los equipos accesibles desde internet, la falta de autenticación multifactor, el software obsoleto y la supervisión insuficiente. Si los equipos conectados comparten red con otros sistemas de la empresa, los atacantes también podrían avanzar hacia otras áreas.

Los expertos recomiendan inventariar los sistemas y proveedores con acceso remoto, cerrar las conexiones innecesarias, cambiar las contraseñas predeterminadas, exigir autenticación multifactor, separar los equipos conectados del resto de los sistemas informáticos y supervisar los inicios de sesión y los cambios de configuración. Señalan que los diodos de datos unidireccionales pueden ser adecuados para sistemas de control especialmente críticos, aunque son más caros.

La Ley de Ciberseguridad de Suecia entró en vigor el 15 de enero de 2026 y sus disposiciones complementarias se añadieron el 1 de octubre. Nordin y Berghman dicen que algunas empresas aún desconocen si la ley se les aplica. También recomiendan designar a una persona responsable en la dirección, cerrar accesos antiguos, probar la recuperación desde copias de seguridad y formar a los empleados. Mencionan Disa, un curso gratuito en línea de la Agencia Sueca de Contingencias Civiles que dura unos 25 minutos.