Tradicionalmente, la ciberseguridad se ha centrado en proteger información como los datos de clientes, los datos financieros o la propiedad intelectual. Sin embargo, actualmente estamos viendo los daños que puede causar un ciberataque que, en lugar de robar o cifrar información, modifica la temperatura de un frigorífico. Los recientes ataques contra los sistemas de refrigeración de supermercados en Europa demuestran que las ciberamenazas están trascendiendo el mundo digital para afectar a las infraestructuras físicas de las que dependemos cada día.
Cómo funcionan estos ataques
La mayoría de las empresas no considera que los sistemas de refrigeración formen parte de su perímetro de seguridad. El mismo acceso remoto que permite a los equipos externos de mantenimiento reparar un dispositivo de refrigeración sin desplazarse hasta las instalaciones también puede abrir la puerta a los ciberdelincuentes cuando no existen controles de seguridad adecuados. Los investigadores de seguridad han identificado un gran número de interfaces de gestión accesibles públicamente desde Internet, muchas de ellas con software desactualizado o certificados caducados. Parte del problema radica en que los controladores de refrigeración suelen ser instalados por técnicos especializados en estos sistemas, y no por equipos de ciberseguridad.
Su función es mantener los alimentos a baja temperatura y, una vez configurados, estos dispositivos se ponen en funcionamiento, se conectan y quedan sin supervisión. En ningún momento de este proceso se plantea la necesidad de evaluar las implicaciones de seguridad que supone conectar los sistemas de refrigeración a Internet. Las credenciales pueden mantenerse con sus valores predeterminados o configurarse para que el siguiente técnico pueda recordarlas fácilmente. Como estos dispositivos no suelen considerarse parte de la infraestructura de TI, a menudo quedan fuera del inventario de activos, de los ciclos de actualización y, en general, del ámbito de supervisión de los equipos de seguridad. Sin embargo, los recientes incidentes han demostrado que ya no es válido asumir que nadie se molestaría en atacar un frigorífico.
Por qué estos ataques van más allá de los supermercados
Estos incidentes ponen de manifiesto los riesgos ciberfísicos asociados a los dispositivos del Internet de las Cosas (IoT) y de tecnología operativa (OT). El mismo potencial de amenaza que presentan los sistemas de refrigeración se extiende a los sistemas que permiten el funcionamiento de edificios, redes de agua, infraestructuras energéticas, centros sanitarios, operaciones logísticas y fábricas.
La Ley de Ciberresiliencia de la Unión Europea (CRA, por sus siglas en inglés) aborda este problema desde su origen. Esta normativa exige a los fabricantes incorporar la seguridad en los productos conectados desde su diseño y garantizar su mantenimiento mediante actualizaciones y una gestión adecuada de las vulnerabilidades. Esto implica no solo integrar medidas de seguridad desde el diseño y por defecto, sino también establecer procesos obligatorios de gestión del ciclo de vida durante un periodo mínimo de cinco años.
Las obligaciones de notificación de vulnerabilidades explotadas activamente entraron en vigor el 11 de septiembre de 2026. Se trata de un avance positivo que permite abordar las vulnerabilidades de los dispositivos de consumo y de los equipos industriales no críticos que no estaban completamente cubiertos por los requisitos europeos existentes, como los establecidos en la Directiva NIS2.
Sin embargo, esta regulación está orientada principalmente a las nuevas generaciones de dispositivos. Por lo general, los productos que ya se encuentran en el mercado solo quedan sujetos a estos requisitos si se modifican sustancialmente después de diciembre de 2027. La excepción son las obligaciones de notificación, que también se aplican a los productos más antiguos incluidos en el ámbito de aplicación de la normativa.
Proteger con Zero Trust aquello que no se puede modificar
Los ataques recientes demuestran por qué es importante abordar esta brecha de seguridad. Según las informaciones publicadas, algunos de los modelos afectados habían llegado al final de su vida útil hace años y determinados dispositivos seguían utilizando las credenciales predeterminadas. Un fabricante no puede aplicar parches a un producto al que ya no ofrece soporte, y pocos distribuidores pueden sustituir miles de controladores de un día para otro. La regulación eleva los estándares de seguridad de cara al futuro, pero no elimina los riesgos de los equipos que las empresas ya tienen instalados.
Para reducir estos riesgos, es recomendable adoptar una serie de medidas iniciales:
- Evitar que los dispositivos sean accesibles desde Internet. Un controlador de refrigeración no debería estar al alcance de cualquiera que intente localizarlo. El acceso remoto debe permitirse únicamente a través de canales controlados y autenticados.
- Segmentar los entornos OT y TI. Un controlador comprometido no debería convertirse en una vía de acceso a los sistemas de pago, las aplicaciones corporativas u otros equipos. La segmentación debe basarse en las necesidades reales de comunicación de cada dispositivo, y no simplemente en el punto de la red al que esté conectado.
- Controlar el acceso de terceros. Los proveedores externos suelen encargarse del mantenimiento de estos sistemas, por lo que las empresas deben saber quién puede acceder a cada dispositivo y en qué momento. El uso de credenciales individuales, autenticación multifactor (MFA), accesos limitados en el tiempo y registros de auditoría permite reforzar la protección.
- Aplicar controles compensatorios cuando no sea posible instalar parches. Esta técnica, conocida habitualmente como parcheo virtual, consiste en situar un control de seguridad delante de un dispositivo vulnerable para bloquear las solicitudes maliciosas antes de que lleguen a él. Aunque no corrige la vulnerabilidad ni protege necesariamente todos los protocolos propietarios, permite reducir la exposición al riesgo.
- Conocer los dispositivos y supervisar los procesos físicos. Es fundamental mantener un inventario actualizado de los equipos, sus responsables, las versiones de software y su estado de soporte, especialmente cuando las responsabilidades están repartidas entre los departamentos de TI, los equipos de mantenimiento de instalaciones y los proveedores externos.
Sustituir todos los dispositivos vulnerables es el objetivo adecuado a largo plazo, pero rara vez resulta viable en la práctica. Mientras tanto, es necesario proteger el entorno en el que operan estos equipos. Aquí es donde puede ayudar un enfoque de seguridad Zero Trust, basado en el principio de que la ubicación de un dispositivo dentro de la red no implica que deba considerarse de confianza.
En una red tradicional, cualquier elemento que se encuentra «dentro» recibe cierto nivel de confianza, por lo que un único controlador comprometido puede convertirse en una puerta de entrada al resto de los sistemas. Las arquitecturas Zero Trust eliminan esta premisa. El acceso depende de la identidad, de las políticas de seguridad y del recurso específico al que se solicita acceder. Ningún dispositivo obtiene acceso a otros recursos por el mero hecho de estar conectado a la misma red.
Zero Trust no es una solución infalible. No corrige las vulnerabilidades de los dispositivos y solo resulta eficaz si se diseña teniendo en cuenta el tráfico real de la red y se supervisa de forma continua. Sin embargo, para las empresas que cuentan con numerosos equipos difíciles de sustituir o actualizar, representa una forma práctica de reducir la exposición a las amenazas y limitar los daños.
La ciberseguridad ya no consiste únicamente en proteger la información, sino también en proteger aquello de lo que depende la sociedad.
Por Alex Fray, responsable global de Innovación en Zscaler
