Hackers subieron la temperatura de cámaras frías en tres centros de sangre de Francia

Unos hackers han manipulado las cámaras frigoríficas del servicio nacional de sangre de Francia. El 2 de noviembre se alteraron los sistemas de control de cámaras frías en tres centros del Établissement français du sang (EFS), de modo que «los umbrales de temperatura y de descongelación se elevaron a niveles muy altos», según un comunicado del EFS del 3 de noviembre. Según el servicio de sangre, no se perdieron hemoderivados ni hubo pacientes afectados. La intrusión llegó a través de un proveedor de equipos de refrigeración, no de la red propia del EFS.

Qué pasó en el servicio de sangre

Las cámaras frías de los centros de preparación y distribución del EFS guardan hemoderivados antes de enviarlos a los hospitales, además de muestras para sus biobancos. En las cámaras afectadas había bolsas de plasma para transfusión y plasma destinado a fabricar medicamentos.

El EFS asegura que sus propios sistemas de vigilancia y alarma detectaron rápido las anomalías. Según el centro, el personal recuperó el control de los equipos sin daños para su contenido o los desactivó, y trasladó los productos almacenados a otras instalaciones por precaución. Las extracciones y el reparto continúan. El servicio trabaja con la ANSSI, la agencia nacional de ciberseguridad de Francia, y con el Ministerio de Sanidad, y ha reforzado la vigilancia de temperatura en todos sus equipos.

Un portavoz del EFS no supo decir qué tres centros se vieron afectados, quién fabricó los sistemas de control ni de qué modelo se trataba, informa The Record. El proveedor no ha sido identificado.

Una segunda oleada en Europa

El servicio de sangre es la primera institución sanitaria que se sabe afectada por una oleada de ataques contra controles de refrigeración que hasta ahora golpeaba sobre todo a supermercados. A mediados de octubre, unos hackers pusieron en modo descongelación las neveras de cientos de tiendas francesas y echaron a perder alimentos. Una segunda oleada llegó de madrugada el 2 de noviembre, el mismo día del incidente en el EFS.

Esa noche resultaron afectadas más de 50 tiendas en Bélgica, un «número limitado» de pequeños comercios en Suecia y más de una docena en Irlanda, Estonia, Países Bajos y Luxemburgo, escribe The Record. El encargado de un supermercado del sur de Suecia contó que los congeladores se habían puesto a distancia a 50 °C. En total, habría empresas afectadas en al menos 11 países europeos, entre ellos Alemania, Finlandia, Portugal y Reino Unido.

Nadie ha reivindicado los ataques y no se sabe si detrás de las oleadas de octubre y noviembre están las mismas personas. «No se sabe quién está detrás de este ataque y puede que nunca sea posible identificarlo», dijo a The Record una portavoz del Centro de Ciberseguridad de Bélgica.

Por qué los controladores antiguos son el punto débil

En Estonia, un contratista dijo que los atacantes entraron en un sistema antiguo de Danfoss, y la cadena neerlandesa NOS informó de que en Bélgica se atacó equipamiento de Copeland. Ambos fabricantes afirmaron que, tras el ataque en Francia, los dispositivos afectados eran sobre todo productos descatalogados que ya no reciben actualizaciones de seguridad. En octubre, a las tiendas francesas se llegó a través de controladores remotos expuestos a internet. Un instalador belga dijo que unas 20 de los cientos de unidades que gestiona estaban afectadas y que necesitan modificaciones físicas, no basta con actualizar el software.

Por ahora, los fabricantes no tienen ninguna obligación legal de corregir estos productos. Los requisitos de seguridad más estrictos de la Ley de Ciberresiliencia de la UE (Cyber Resilience Act) solo empezarán a aplicarse en diciembre de 2027.