Los ciberataques a la refrigeración en Europa saltan de los supermercados a los bancos de sangre

La oleada de ciberataques contra sistemas de refrigeración que se extiende por Europa desde octubre ha dado dos giros esta semana: los atacantes han intentado alcanzar cámaras de conservación de sangre y plasma en Francia y, en España, el Centre de Ciberseguretat de la Generalitat Valenciana (Talaia) ha avisado por precaución a 21 empresas valencianas que utilizan la misma tecnología que los equipos comprometidos. En estas últimas no consta, por ahora, ninguna intrusión.

El salto cualitativo lo marca el objetivo. El Établissement Français du Sang (EFS), el organismo público que gestiona la sangre en Francia, confirmó en un comunicado que el lunes 2 de noviembre un «incidente de ciberseguridad» en un proveedor de equipos frigoríficos desajustó los sistemas de supervisión y control de cámaras frías desplegadas en tres de sus centros, con los umbrales de temperatura y descongelación elevados «a temperaturas muy altas». Las cámaras afectadas almacenaban bolsas de plasma destinadas a transfusión y a la fabricación de medicamentos. Según el organismo, el incidente se contuvo con rapidez y «no se ha identificado ningún impacto sanitario». El episodio ilustra el riesgo de acceso a través de proveedores: en este caso los atacantes no golpearon al organismo, sino al tercero que mantiene sus equipos.

En España, la actuación conocida es preventiva. Talaia, el centro de ciberseguridad de la Generalitat Valenciana, localizó a 21 empresas de la Comunitat Valenciana que emplean sistemas de refrigeración del mismo fabricante y tecnología que los atacados en Europa y les trasladó un aviso para reforzar su protección, según informó el propio centro a través de declaraciones de su directora, Carmen Serrano, recogidas por los medios públicos valencianos. La alerta pide aplicar todas las actualizaciones de seguridad del fabricante y actuar con rapidez ante vulnerabilidades conocidas. El aviso llega en un momento delicado para el sector sanitario español, donde el robo de historiales médicos de 18.416 pacientes en Extremadura sigue en fase de notificación.

Bruselas formaliza la respuesta y recuerda las obligaciones

A nivel europeo, la respuesta ya es institucional. La Comisión Europea, la Agencia de la UE para la Ciberseguridad (ENISA), el Centro Europeo de Ciberdelincuencia de Europol (EC3), la red de CSIRT europeos y la red de crisis EU-CyCLONe publicaron el 4 de noviembre una declaración conjunta en la que piden a las organizaciones actuar de forma inmediata para mitigar la exposición de los sistemas afectados, tras constatar una nueva ola de incidentes los días 1 y 2 de noviembre. La alerta técnica de referencia sigue siendo la del CERT-FR, que documenta compromisos en los controladores remotos Danfoss de las series AK-SM y AK-SC, Copeland xweb y Dixell xweb, expuestos directamente en Internet «contrariamente a las buenas prácticas», y recomienda retirar esa exposición.

La declaración europea recuerda además el marco legal que ya obliga a reaccionar: desde el 11 de septiembre, los fabricantes de productos con elementos digitales deben notificar los incidentes graves y las vulnerabilidades explotadas a través de la plataforma única de la Ley de Ciberresiliencia, y las entidades a las que aplica la directiva NIS2 deben gestionar estos riesgos y reportar los incidentes significativos a su CSIRT nacional.

Los incidentes mantienen un rasgo inusual: en los casos conocidos no se ha pedido rescate y ninguna autoridad ha atribuido públicamente la autoría. Los expertos consultados por los medios valencianos apuntan como hipótesis la intención de generar alarma social, una lectura que por ahora no pasa de conjetura. Lo desconocido sigue pesando más que lo confirmado: se ignora quién está detrás, cuántas organizaciones han resultado afectadas en total y si la oleada ha tocado fondo. La coordinación abierta entre Bruselas, La Haya y los CSIRT nacionales sugiere que no se considera cerrada.

Más información | Declaración conjunta de ENISA y la Comisión Europea