Atacantes aqueceram congeladores franceses a 50 graus

Seis horas de descongelação, ordenadas à distância

Na noite de domingo, 11, para segunda-feira, 12 de outubro, atacantes assumiram o controlo do software de gestão remota das unidades de refrigeração de supermercados franceses e puseram-nas em descongelação. Em vez de um breve aquecimento noturno, frigoríficos e congeladores continuaram a aquecer. A Intermarché disse que os seus equipamentos aqueceram até 50 graus durante cerca de seis horas e que deitou fora tudo o que foi afetado, para excluir riscos para a saúde.

Os gerentes que chegaram na segunda-feira de manhã foram recebidos por uma onda de ar quente vinda dos congeladores, e algumas lojas tiveram pequenos incêndios. O primeiro-ministro Sébastien Lecornu mandou a agência nacional de cibersegurança ANSSI investigar, e o Ministério Público de Paris abriu uma investigação ao que classificou como um ataque em grande escala às câmaras frigoríficas de várias grandes cadeias de distribuição alimentar. Nenhum autor foi identificado.

Estes números vêm das cadeias e de jornalistas que escreveram a horas diferentes. Leia cada um como um intervalo. Nenhuma fonte dá um total global confirmado.

Os controladores mais antigos não têm correção para instalar

A Danfoss afirma que a maioria das unidades afetadas são modelos mais antigos cujo software de segurança não pode ser atualizado. Acrescentou que aconselha há muito os clientes a manterem os sistemas suportados com o firmware atual.

O The Hacker News relata que o AK-SM 800 está em fim de vida desde maio de 2021 e que o AK-SC 355 foi descontinuado em 2016, e que nenhum recebe atualizações de software ou de segurança. Segundo se relata, também foram atingidas algumas unidades do AK-SM 800A, um modelo atual, que corriam firmware desatualizado. O alerta do CERT-FR, atualizado a 13 de outubro, indica como produtos afetados as séries Danfoss AK-SC e AK-SM, juntamente com os controladores Copeland xweb e Dixell xweb.

O CERT-FR acrescenta um aviso que importa a quem tem equipamento antigo: só repor de fábrica não basta em equipamento em fim de vida que continua exposto à internet, porque provavelmente voltará a ser comprometido. Para essas unidades, resta retirá-las da internet ou substituí-las.

Como entraram continua por esclarecer

Segundo o BleepingComputer, nenhuma informação pública explica ainda como os controladores foram comprometidos.

A equipa Team82 da Claroty publicou em agosto uma investigação sobre o AK-SM 800A: um contorno da autenticação (CVE-2025-41450, CVSS 8,2), uma injeção de comandos (CVE-2025-41451, 7,6) e uma falha de negação de serviço (CVE-2025-41452, 5,4). As análises da Censys contaram 2.765 destas unidades acessíveis a partir da internet, e a Danfoss lançou depois uma atualização. Nenhuma fonte liga essas falhas a este ataque, por isso são contexto e não a causa.

A exposição de segunda-feira era grande de qualquer modo. Baptiste Robert, diretor-executivo da Predicta Lab, encontrou 2.752 sistemas Danfoss em linha, 1.590 deles em França, e a Shodan regista mais de 4.500 dispositivos Danfoss acessíveis a partir da internet.

O ataque pode não ser só francês. O analista da Sekoia Félix Aimé disse à Reuters que Espanha, Portugal, Polónia, Alemanha e Bélgica também tinham sido afetados, sem pormenores, e uma pessoa próxima do primeiro-ministro disse que a ANSSI está em contacto com agências de outros países europeus. A Ahold Delhaize anunciou nessa mesma segunda-feira um problema de segurança na sua própria rede e pôs alguns sistemas fora de linha, com as lojas abertas, mas o comunicado não menciona a França e o BleepingComputer não viu indícios de ligação.

A Intermarché avisou que o seguro pode não pagar

A Intermarché disse que as lojas afetadas tiveram de deitar fora todos os produtos frescos e congelados e avisou que as apólices de seguro podem não pagar, porque não cobrem este tipo de incidente nas lojas.

O valor continua por esclarecer. Thierry Cotillard, do grupo Les Mousquetaires, espera perdas de dezenas de milhões de euros em toda a França, segundo o The Hacker News, e a BBC refere alimentos no valor de milhões de euros. Dois supermercados da Alsácia declararam, em conjunto, 270.000 euros de prejuízo. A Coopérative U disse que a cadeia de frio aguentou na maioria das suas 80 lojas afetadas e que só uma minoria perdeu mercadoria.

As orientações do próprio CERT-FR dizem para verificar as condições do seguro antes de cortar a ligação de dados ao empreiteiro de refrigeração. A posição da seguradora sobre a monitorização remota deve entrar na mesma conversa que a decisão de desligar.

O que o CERT-FR pede, passo a passo

O alerta CERTFR-2026-ALE-012 do CERT-FR, emitido a 12 de outubro e atualizado a 13, dá aos proprietários uma ordem de trabalhos curta.

Se o equipamento não está comprometido: retirar a exposição à internet das unidades afetadas e de qualquer unidade com endereço IP público; rever toda a configuração, sobretudo os calendários de descongelação; repor o acesso apenas através de uma VPN segura ou de uma rede protegida, aceitando a filtragem dos endereços IP de origem do empreiteiro só como medida de emergência; e aplicar as boas práticas do fabricante, que na Danfoss significam o nível de segurança em Strict e as palavras-passe predefinidas alteradas.

Se o equipamento pode estar comprometido: retirar a exposição, repô-lo de fábrica, devolver o acesso apenas através de uma VPN segura, reconfigurar a unidade antes de a pôr de novo em serviço e aplicar depois as medidas do fabricante. O CERT-FR diz que as campanhas de ataque provavelmente ainda estão em curso.

Pergunte esta semana três coisas ao empreiteiro de refrigeração: que modelos de controlador e versões de firmware existem em cada local, quais já passaram o fim de vida e quem lhes pode aceder remotamente e a partir de onde.

Leia a seguir: França exclui a OpenAI da sua própria ciberdefesa  |  Os vermes de IA podem atingir primeiro o IoT barato