Cuántas veces nos hemos preguntado quién está detrás de las grandes cadenas de distribución organizada, cuáles son los acuerdos entre quienes dirigen los supermercados y las empresas que los abastecen, cómo se trata a los proveedores y a los trabajadores de las grandes marcas alimentarias.
Son preguntas a las que la mayoría de los ciudadanos no saben responder, pero que despiertan mucha curiosidad, sobre todo en un momento en que crece la conciencia de los consumidores y la propensión a hacer elecciones no sólo más sanas y sostenibles, sino también más éticas.
Esta vez nos hemos ocupado de cerrar esta brecha el grupo criminal Lynx que lanzó un gran ataque el pasado noviembre. ransomware en Grupo Conadque tuvo su desenlace hace unos días con la negativa del grupo GDO a pagar el rescate y la posterior publicación del mismo en la Red por parte de los delincuentes, según Fanpagede miles de datos confidenciales y altamente sensibles: una gran cantidad de documentos internos, incluidos materiales de recursos humanos y de clientes, escaneados de documentos en papel, especificaciones, comunicaciones y contratos con proveedores, así como contratos y planes de negocio, pólizas de seguros, planes de marketing para 2025, cartas de empleo, nóminas de empleados e incluso antiguos planes de vacaciones.
Una brecha importante que pone en peligro no sólo a la empresa, sino también a todos los implicados.
Seamos claros. Los ciberdelincuentes no llevaron a cabo este acto para satisfacer el deseo de información de los consumidores, sino para obtener un beneficio siniestro.
De hecho, Lynx, que ya cuenta con decenas de víctimas entre medianas y grandes empresas, es considerado un grupo motivado financieramentees decir, que actúa únicamente con fines lucrativos, sin agendas políticas, afiliaciones gubernamentales u otros propósitos.
Esta vez eligió a Conad, evidentemente por la profundidad del volumen de negocio del Grupo.
En efecto, Conad, que recientemente compró los más de 1.600 supermercados Auchan y Simply en Italia, pasando de una cuota de mercado del 12,9% al 16,5%, ha aumentado su facturación agregada de 13.400 a 17.100 millones de euros, y es hoy en Italia el líder indiscutible del sector, habiendo superado incluso a su rival histórico Coop.
El ataque forma parte de la estrategia conocida como «doble extorsión», que consiste tanto en cifrar los datos como en amenazar con publicarlos. Así, se pidieron dos rescates: uno para obtener la clave de descifrado y desbloquear los sistemas comprometidos, y otro para impedir la difusión pública de los datos robados. Al no recibir el pago solicitado, los piratas decidieron hacer accesibles los archivos.
Este modo de ataque, en el que los delincuentes se cuelan en los sistemas de las víctimas, roban datos y luego piden un rescate para mantenerlos privados, se está extendiendo como una especie de evolución y al mismo tiempo simplificación del ransomware tradicional, en el que los servidores y ordenadores afectados se encriptaban y la víctima tenía que pagar para conseguir la clave de desencriptación.
El objetivo final sigue siendo embolsarse el rescate, pero el nuevo método facilita la vida a los delincuentes, que sólo tienen que colarse y robar la información, sin tener que preocuparse de desarrollar o adquirir de otros el malware que cifra los discos duros.
Reacción de Conad
En un comunicado, difundido también en el portal Federprivacy, Conad dijo que había informado inmediatamente a la Autoridad de Protección de Datos y a la Policía Postal y que había presentado una denuncia ante la Fiscalía de Bolonia, añadiendo que se estaban llevando a cabo nuevas investigaciones para reconstruir lo ocurrido y hacer frente a las consecuencias del incidente.
Este es el texto íntegro del comunicado:
«Consorzio Nazionale Dettaglianti (Conad) Soc. Coop. sufrió un ataque informático a sus sistemas el 20 de noviembre de 2024, que fue rápidamente repelido gracias a las medidas de defensa aplicadas de inmediato. Conad verificó que una pequeña cantidad de datos -no estructurados e irrelevantes, que no se referían en modo alguno a los clientes del signo- podían haber sido copiados. Inmediatamente después del ataque, Conad informó sin demora a la Autoridad de Protección de Datos y a la Policía Postal. En esas horas, tras haber reconstruido aún más el asunto a través de información aparentemente difundida en sitios web localizables por los delincuentes responsables del propio ataque, Conad presentó una denuncia sobre el incidente ante la Fiscalía de Bolonia».
En cualquier caso, se trata de un episodio más en el panorama de los ciberataques que ahora se cobran víctimas entre empresas y organizaciones a diario.
A menudo, los ciberdelincuentes explotan las vulnerabilidades del software o una combinación de phishing e ingeniería social, porque el eslabón más débil de la cadena sigue siendo el factor humano, es decir, un empleado o compañero de trabajo que tiene acceso a los sistemas y puede ser fácilmente víctima de una estafa.
El asunto Conad adquiere importancia porque representa una nueva advertencia sobre la necesidad imperiosa de invertir en medidas de seguridad informática, pero sobre todo en programas de formación adaptados a los distintos tipos de empresas y concebidos como cursos continuos, de calidad y adaptados al nivel de conocimientos de quienes los realizan.
Sólo una formación de este tipo puede garantizar que las empresas y organizaciones estén adecuadamente protegidas contra el riesgo cibernético cada vez mayor en el que todos vivimos actualmente.
