Riesgo de terceros: cuando el refrigerador es la puerta de entrada de un ciberataque.
El ataque a supermercados en Francia entró por equipos de un proveedor. Cuatro prácticas para que no pase en tu empresa.
Un ciberataque contra los controladores de refrigeración de cientos de supermercados franceses demuestra que el riesgo de terceros ya no termina en el área de TI: también vive en los equipos que un proveedor administra a distancia.
Durante la noche del 11 al 12 de octubre, los refrigeradores y congeladores de cientos de supermercados en Francia llegaron hasta 50 °C durante horas; el resultado fue comida perdida, incendios en algunas tiendas y pérdidas estimadas en decenas de millones de euros.
Pero esta historia no se trata de supermercados, sino de una cadena de proveedores que nadie estaba vigilando, y que aprovecharon unos ciberdelincuentes para ocasionar daños cuantiosos.
Hay que ser muy honestos y los atacantes no vulneraron las redes corporativas de las tiendas, más bien llegaron a los controladores de refrigeración que se administran a distancia, fabricados por la danesa Danfoss (la agencia francesa de ciberseguridad ANSSI, a través de su equipo CERT-FR, también detectó intrusiones en equipos de otras marcas), y forzaron ciclos de descongelamiento prolongados. Muchos de esos equipos estaban expuestos directamente a internet, y varios ya habían llegado al fin de su vida útil y no recibían parches de seguridad.
Este tipo de patrón no es nuevo. En 2013, las credenciales robadas a un proveedor de climatización abrieron la puerta a una de las mayores brechas en la historia de Target. Los ciberataques a SolarWinds y Change Healthcare siguieron la misma lógica; es decir, que el ataque se ejecutó a través de un tercero de confianza y se propagó a todos sus clientes. Lo ocurrido en Francia, en medio de todos los problemas que atraviesa a nivel social, confirmó que esa debilidad ya alcanzó también a la cadena de frío.
Por qué importa más allá de Francia
La pregunta para las empresas en México no es si usan Danfoss, sino cuántos equipos operativos, llámese de refrigeración, climatización, control de accesos o energía, administra hoy un tercero a distancia sin que el área de riesgos lo sepa. Y sí, lo grave es que veo esa misma operación y arquitectura en autoservicios, farmacéuticas, alimentos, logística y cadena de suministro.
El blanco fue la tecnología del proveedor, no la tienda. Un mismo tipo de controlador, instalado y administrado a distancia en cientos de sitios, multiplicó el impacto en una sola noche. La obsolescencia es un riesgo de terceros y equipos sin actualizaciones conectados a internet son una vulnerabilidad contratada, aunque nadie la haya firmado en el contrato.
Lo que es cómodo para el proveedor también lo es para el atacante, pues operar “desde cualquier lugar” también significa que cualquiera con la credencial correcta puede entrar donde sea.
El daño fue físico y financiero, desde comida arruinada e incendios, hasta una reputación dañada. Así es como un consejo de administración entiende el riesgo cibernético.
Qué significa esto para la gestión de riesgo de terceros (TPRM)
La gestión de riesgo de terceros (TPRM, por sus siglas en inglés: Third-Party Risk Management) es la disciplina que identifica, evalúa y controla los riesgos que entran a una organización a través de sus proveedores, fabricantes y socios: quién tiene acceso a qué, con qué controles y durante cuánto tiempo.
En mi opinión, luego de ver el caso francés que sigue dando de qué hablar, existen cuatro prácticas que deberían ser obligatorias:
- Inventario tecnológico total: La refrigeración, la climatización y los sistemas de piso de tienda casi nunca se incluyen en las evaluaciones de riesgo, cuando tendrían que estar.
- Fin de soporte como riesgo formal: Un equipo sin actualizaciones no es una simple nota al pie en un reporte técnico; es un hallazgo con fecha de caducidad.
- Acceso remoto privilegiado: El acceso de proveedores debe tratarse con máxima seguridad; es decir, ningún equipo expuesto directamente a internet, cero contraseñas de fábrica, autenticación multifactor, sesiones grabadas, aprobación previa y revocación inmediata al terminar el servicio.
- Contratos que obliguen: Fechas claras de fin de soporte, tiempos límite de parcheo y obligación de notificar incidentes, más allá de la clásica cláusula de confidencialidad.
Frente a esta punta del iceberg que acabamos de ver, en una de las cadenas de suministro más importantes del mundo, hay tres preguntas que hoy deberías estar haciendo a tu consejo, equipo de TI o área de compras: ¿Sabes qué proveedores tienen hoy acceso remoto a los sistemas de su operación, y quién aprueba ese acceso? ¿Cuántos equipos conectados en tu operación ya no reciben actualizaciones de seguridad? ¿Tu comité de riesgos revisa a sus proveedores tecnológicos con la misma seriedad que a tus proveedores financieros?
Si alguna de estas respuestas te incomoda, ya encontraste tu primer hallazgo y el riesgo, por su mismo, ya comenzó a ser latente.
Juan Carlos Carrillo es CEO de ONESEC, consultor en ciberseguridad y privacidad. Síguelo en su LinkedIn.