Quando o frio se torna arma: o que os ataques aos frigoríficos dos supermercados nos ensinam

Três semanas depois, o padrão repetiu-se à escala continental. Na noite de 1 para 2 de novembro, os sistemas de refrigeração de supermercados e lojas em sete países europeus (Bélgica, Luxemburgo, Suécia, Irlanda, Países Baixos, Estónia e Finlândia) foram adulterados remotamente. Só na Bélgica, ficou claro que pelo menos 76 lojas alimentares foram atingidas, e na Irlanda o ataque chegou a 13 supermercados da cadeia SuperValu. Portugal não ficou de fora: o Grupo Mosqueteiros confirmou ocorrências em sete lojas Intermarché, num ataque que terá visado um prestador de serviços externo responsável pela gestão dos sistemas de refrigeração. A empresa garante que os alimentos não foram afetados e que se mantêm asseguradas as condições de higiene e segurança alimentar. Um porta-voz da Danfoss, fabricante dinamarquês de sistemas de refrigeração, confirmou que os incidentes europeus envolveram os seus produtos, tal como em França, e nenhum grupo reivindicou o ataque.

Para perceber como isto acontece, convém olhar para a arquitetura de um supermercado moderno. Cada vitrine refrigerada e cada câmara de frio tem um controlador local, e todos respondem a um gestor central. Os controladores Danfoss AK-SM são o cérebro das centrais de frio dos supermercados: gerem compressores, ciclos de descongelação, alarmes e registo de temperaturas das vitrines de carne, lacticínios e congelados. Este gestor tem uma interface web para que o técnico de frio possa ajustar parâmetros e diagnosticar avarias sem se deslocar à loja. É aqui que mora o problema. Quando essa interface fica acessível a partir da Internet, basta ao atacante entrar e alterar um parâmetro perfeitamente legítimo. A empresa belga Sabcobel confirmou que os atacantes colocaram os evaporadores em modo de descongelação, fazendo subir a temperatura. Não é preciso malware sofisticado: usa-se a própria função de descongelação, com resistências elétricas e tudo, contra o equipamento.

A porta de entrada tem nomes e versões. A Danfoss disse à AFP que a maioria das unidades atingidas eram produtos antigos sem atualizações de software ou de segurança, nomeando o AK-SM 800 e o AK-SC 355, sendo que o AK-SM 800 está em fim de vida desde maio de 2021. Em paralelo, a investigação da Claroty já tinha soado o alarme: a Team82 encontrou um mecanismo de autenticação oculto no AK-SM 800A que aceitava um código gerado a partir da data corrente do equipamento, contornando a palavra-passe do administrador (CVE-2025-41450), a que se somava a CVE-2025-41451, que permite injeção de comandos através da configuração de email do controlador. Há também relatos de que muitas arcas pareciam funcionar com a palavra-passe de origem. A exposição era enorme: o investigador Baptiste Robert encontrou 2752 sistemas Danfoss expostos online, 1590 dos quais em França. E o problema não é de um só fabricante, já que a 13 de outubro o CERT-FR alargou o alerta aos controladores Copeland XWEB e Dixell XWEB. Por rigor, sublinho que o alerta oficial não aponta nenhuma vulnerabilidade concreta nem explica como os atacantes entraram; credenciais de origem, equipamentos sem suporte e falhas publicadas são, por agora, hipóteses compatíveis, não conclusões.

Este caso junta, num só episódio, três fragilidades que conheço bem de trinta anos de terreno. A primeira é a convergência entre informática e tecnologia operacional: equipamentos industriais pensados para durar quinze anos ligados a uma Internet onde as vulnerabilidades duram dias. A segunda é o risco de terceiros, porque em Portugal o vetor apontado foi precisamente um prestador externo de manutenção, e quem tem acesso remoto a centenas de lojas torna-se um alvo de enorme valor. A terceira é a ausência de dono: ninguém sabe ao certo se cabe ao retalhista, ao frigorista ou ao fabricante atualizar, isolar ou substituir o controlador. Do ponto de vista jurídico, convém lembrar que a produção, transformação e distribuição alimentar figura entre os setores abrangidos pela Diretiva NIS2, transposta em Portugal pelo Decreto-Lei n.º 125/2025, o que significa que a gestão de riscos da cadeia de abastecimento e dos fornecedores deixou de ser opcional para as grandes cadeias.

As medidas corretivas imediatas são claras e vêm da autoridade francesa. A primeira é retirar da Internet os equipamentos afetados e todos os que estejam acessíveis a partir de um endereço público; depois, o acesso só deve regressar através de uma VPN ou de uma rede protegida. Repor os valores de fábrica não chega. Todas as credenciais de origem e partilhadas têm de ser substituídas, os AK-SM 800A devem ser atualizados (a Danfoss corrigiu as três vulnerabilidades no firmware R4.3.1, e a partir da versão 4.0 a opção Strict Session Control vem ativa por omissão e torna o HTTPS obrigatório), e os modelos em fim de vida devem ser substituídos, não remendados.

No plano estrutural, recomendo cinco linhas de trabalho, todas exequíveis. Começar por um inventário rigoroso dos ativos de tecnologia operacional e por uma monitorização contínua da superfície exposta, pesquisando a própria organização em motores como o Shodan antes que outros o façam. Segmentar a rede segundo o modelo de zonas e condutas da norma IEC 62443, afastando os controladores de frio da rede da loja e da Internet. Gerir o acesso remoto dos fornecedores através de um ponto de salto único, com autenticação multifator, acesso concedido apenas na janela de intervenção e gravação das sessões, e incluir estas exigências nos contratos de manutenção. Registar e alertar sobre alterações de parâmetros críticos, como pontos de regulação e ciclos de descongelação, enviando os alertas para um sistema independente do próprio controlador. E, talvez o mais importante, introduzir salvaguardas físicas que nenhum software consiga anular: sensores de temperatura e registadores autónomos com alarme próprio, e termóstatos de segurança que cortem as resistências de descongelação acima de um limite. A cibersegurança industrial madura assenta neste princípio simples: quando o código falha, a física tem de travar.

A lição destes ataques ultrapassa as prateleiras vazias. Mostram que é possível causar perdas de milhões, desperdício alimentar e risco de incêndio sem tocar num único dado pessoal, apenas abusando de funções legítimas de equipamentos esquecidos na rede. O frigorífico de um supermercado deixou de ser um eletrodoméstico e passou a ser infraestrutura crítica da cadeia de abastecimento alimentar. Quem o gere tem de o tratar como tal: com inventário, com dono, com atualizações, com fornecedores auditados e com um plano de contingência para o frio, incluindo camiões frigoríficos já contratados. A próxima vaga não perguntará se estamos preparados.

Até para a semana.