Os ataques expõem falhas que a indústria pode corrigir com redes protegidas, controle de identidade e acesso, identificação dos equipamentos e consultoria especializada
Por Regina Tupinambá
Ataques a sistemas de refrigeração comercial mobilizaram autoridades na Europa e nos Estados Unidos. O alerta conjunto da CISA e do FBI aponta atividade maliciosa contra sistemas de monitoramento da cadeia do frio (cold chain monitoring systems) em escala mundial.
Em 9 de novembro, a França atribuiu ao Irã a campanha de sabotagem da noite de 11 para 12 de outubro, que mirou controladores instalados em mais de 700 pontos do grande varejo francês. Segundo o governo, os ataques causaram focos de incêndio, danos a equipamentos e perdas de alimentos estimadas em dezenas de milhões de euros. A atribuição francesa aponta a unidade Shahid Kaveh, ligada ao braço eletrônico e cibernético da Guarda Revolucionária iraniana.
Uma nova onda de incidentes em 1º e 2 de novembro motivou um comunicado conjunto da Agência da União Europeia para a Cibersegurança (ENISA), da Comissão Europeia, da Europol e das redes europeias de resposta a incidentes e crises. A Reuters relatou casos em supermercados na Bélgica e na Suécia. Na França, o serviço nacional de sangue informou que três instalações de armazenamento de plasma tiveram parâmetros de refrigeração alterados após um incidente em um fornecedor. Os sistemas de monitoramento detectaram a alteração a tempo. As equipes transferiram ou protegeram os produtos e preservaram os estoques, segundo o serviço, citado pela Associated Press.
Em 5 de novembro, a CISA e o FBI, com os departamentos americanos de Saúde, Agricultura e Transportes, publicaram o alerta, que também aborda controladores de refrigeração industrial. Nos Estados Unidos, a Reuters informou que o Pentágono investiga como suspeita de ciberataque falhas registradas em agosto em equipamentos de refrigeração de mercados em bases militares. A atribuição francesa se refere à campanha de outubro na França. A autoria comum dos episódios permanece sem confirmação pública.
Como funciona a refrigeração na cadeia do frio
A cadeia do frio, chamada cold chain em inglês e chaîne du froid em francês, mantém alimentos e outros produtos sensíveis à temperatura nas condições adequadas durante o transporte, o armazenamento e a exposição para venda. O alerta americano usa a expressão cold chain monitoring systems para os sistemas que acompanham e registram a temperatura ao longo dessas etapas. Em um supermercado, sensores medem a temperatura de câmaras frias, expositores e congeladores. Os controladores acionam funções como a refrigeração e o degelo, que remove o gelo acumulado para manter o equipamento funcionando.
Quando várias lojas são acompanhadas por uma central, o sistema de supervisão pode reunir leituras, manter históricos e avisar a equipe sobre desvios. Algumas plataformas também permitem que técnicos alterem parâmetros à distância. Uma mesma interface pode, portanto, oferecer duas funções com consequências distintas para a operação. Uma é acompanhar a temperatura. A outra é comandar o equipamento.
O que a legislação exige e como as empresas fazem o controle
Na União Europeia, o Regulamento (CE) 852/2004 exige a manutenção da cadeia do frio (chaîne du froid, em francês) para alimentos que dependem de controle de temperatura, com exceções limitadas durante o manuseio quando isso não representar risco à saúde. O artigo 5 prevê procedimentos baseados na Análise de Perigos e Pontos Críticos de Controle (APPCC, ou HACCP, na sigla em inglês), com monitoramento, ações corretivas e documentação conforme o porte e a natureza da atividade.
Para alimentos ultracongelados, o Regulamento (CE) 37/2005 exige, como regra, que transportadores e operadores de armazenagem usem instrumentos que registrem a temperatura do ar em intervalos frequentes e regulares. Os registros datados devem ser guardados por pelo menos um ano, ou por mais tempo conforme a natureza e a vida útil do alimento. Nos expositores do varejo, o artigo 3 prevê a medição com pelo menos um termômetro facilmente visível. Na França, as portarias de 21 de dezembro de 2009 e de 8 de outubro de 2013 detalham as condições de conservação conforme o tipo de alimento.
Nos Estados Unidos, a regra da FDA sobre transporte sanitário de alimentos, editada no âmbito da FSMA, prevê controles adequados de temperatura nas operações de transporte abrangidas. No Brasil, a RDC 216/2004 da Anvisa determina o monitoramento e o registro regular da temperatura de armazenamento dos alimentos preparados nos serviços de alimentação abrangidos pela norma. As duas regras tratam de etapas e atividades específicas da cadeia.
Na prática, o operador define as faixas de conservação aplicáveis, mede e registra a temperatura nos pontos previstos e estabelece quem deve agir se houver desvio. Uma equipe pode conferir a leitura localmente, transferir o estoque para outro equipamento e segregar os lotes afetados até avaliar a exposição e decidir seu destino conforme o procedimento sanitário. A autoridade fiscalizadora, por sua vez, pode inspecionar instalações, analisar registros e verificar as medições do operador, conforme prevê o Regulamento (UE) 2017/625. O estabelecimento pode manter esse controle com instrumentos locais e registros disponíveis para inspeção.
Onde a exposição à internet abre caminho para o ataque
Quando o painel de gestão de um controlador fica diretamente acessível pela internet pública, pessoas de fora da empresa podem tentar alcançar a mesma interface que um técnico usa para alterar parâmetros. O alerta americano cita três possíveis vetores de exploração: contorno da autenticação, injeção de código e configurações fracas. Se obtiverem acesso, os invasores podem forçar ciclos contínuos de aquecimento ou degelo e comprometer a visibilidade da temperatura atual. A ficha não identifica um grupo, um malware ou um código CVE específico.
O CERT-FR registrou comprometimentos em equipamentos das séries Danfoss AK-SM e AK-SC e em sistemas de supervisão Copeland XWEB e Dixell XWEB. O órgão orienta retirar os painéis da exposição direta e restabelecer o acesso remoto necessário por VPN segura ou rede protegida.
A VPN pode usar a infraestrutura da internet pública para criar um túnel protegido até um ponto de acesso controlado.
O controlador permanece em uma rede de tecnologia operacional (OT) separada da rede corporativa, com o tráfego entre as duas sujeito a regras de acesso. As agências americanas também recomendam atualizar o firmware e substituir equipamentos sem suporte.
Quem pode consultar a temperatura e quem pode alterar o degelo
A gestão de identidades e acessos deveria começar pela separação dessas duas permissões.
Uma equipe de qualidade pode precisar consultar leituras e históricos de várias lojas. Um técnico terceirizado pode precisar alterar o degelo de uma unidade durante uma manutenção específica. Contas individuais, permissões por função e por instalação e acessos de terceiros com prazo definido ajudariam a limitar o alcance de cada sessão e a identificar quem enviou um comando.
Para o acesso remoto privilegiado, as agências americanas recomendam autenticação multifator resistente a phishing sempre que viável. Entre as alternativas já abordadas pelo Crypto ID estão as chaves físicas de segurança FIDO2, as passkeys armazenadas no dispositivo ou em um gerenciador de senhas compatível e os cartões inteligentes com certificado digital, como os do padrão PIV.
O portal também já apresentou o SafeNet GrIDsure, da Thales, que reforça a autenticação com um código de uso único gerado a partir de um padrão visual pessoal. Códigos digitados manualmente podem ser capturados e reutilizados durante um ataque de phishing.
A proteção deve abranger além dos sistemas que dão acesso à refrigeração. Uma invasão pode começar na conta de um prestador, na ferramenta de manutenção remota ou em outro sistema da empresa com conexão à rede operacional. Por isso, faz sentido aplicar autenticação resistente a phishing também a todos os pontos de entrada, separar a rede operacional da rede corporativa e limitar o que cada conta pode fazer. Quem precisa acompanhar a temperatura, por exemplo, pode ter acesso às leituras e ao histórico sem permissão para alterar o degelo e se autenticar de forma que a gestão de acesso seja controlada e que gere evidencias suficientes para disparar alertas e possibilitar a rastreabilidade dos incidentes.
Os equipamentos também precisam ser reconhecidos pela central.
Quando há suporte, um certificado digital individual pode vincular a identidade do controlador à sua chave criptográfica. Em uma conexão com autenticação mútua, o controlador verifica a identidade da central, e a central verifica a do controlador. A empresa poderia, assim, controlar quais equipamentos se conectam e revogar a credencial de um dispositivo comprometido.
Governança da operação e resposta a incidentes
A política de acesso precisa definir quem aprova a entrada de prestadores, quem pode mudar limites de temperatura e degelo e quem revisa as alterações.
Contratos de manutenção podem prever prazos de atualização, aviso de incidentes e encerramento de credenciais. Para mudanças críticas, o histórico deve identificar a conta, o equipamento, o horário e os parâmetros alterados. Em equipamentos antigos sem registros adequados, o alerta americano recomenda coletar dados sobre as comunicações na rede.
A governança também abrange a operação local durante uma falha da supervisão. Um alarme independente do sistema remoto, limites de operação e um plano testado de transferência de estoque dão à equipe meios de agir quando as leituras na central ficam indisponíveis. O caso francês do plasma ilustra essa necessidade. O serviço de sangue detectou a alteração e agiu a tempo de preservar os estoques.
No campo regulatório de cibersegurança, a ENISA lembra que as organizações abrangidas pela diretiva europeia NIS2 devem gerenciar riscos e comunicar incidentes significativos à autoridade competente.
Desde 11 de setembro de 2026, o Regulamento de Ciber-Resiliência (CRA) também prevê que fabricantes de produtos com elementos digitais comuniquem vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança desses produtos. A obrigação do fabricante se soma aos controles que cabem a quem opera os equipamentos.
O custo de operar sistemas conectados sem proteção adequada
Há medidas que poderiam reduzir a exposição dos controladores e limitar os danos de ataques desse tipo. É hora da indústria se atualizar!
O acesso remoto pode passar por uma rede privada e segmentada, com conexões criptografadas e sem exposição direta dos painéis à internet. Funcionários e prestadores precisam de contas individuais e permissões proporcionais à sua função. Cada equipamento deve ter uma identidade verificável, e senhas e chaves de fábrica, quando presentes, devem ser substituídas por credenciais próprias.
Para as empresas que dependem desses equipamentos, o apoio de uma consultoria especializada em segurança de tecnologia operacional é especialmente importante. Ela pode mapear o que está exposto, avaliar os acessos de fornecedores, identificar equipamentos sem suporte e testar com a equipe como manter a operação se a supervisão remota falhar.
O recado que esses ataques deixam aos empresários é duro e caro.
Uma alteração feita a distância pode inutilizar estoques, danificar equipamentos e interromper uma operação inteira. Quem usa tecnologia para operar a empresa precisa investir na segurança dessa operação. Em atividades críticas, esse investimento precisa estar no orçamento desde o projeto e continuar ao longo de toda a vida útil dos equipamentos.
Novos ciberataques a supermercados europeus expõem falhas de segurança
Ciberataque a supermercados na França expõe falhas de autenticação em sistemas industriais
Ciberataque a 700 supermercados na França provoca perdas milionárias com alimentos
REGINA TUPINAMBÁ | CCO –Regina Tupinambá é Chief Content Officer (CCO) e cofundadora do Crypto ID. Publicitária formada pela PUC-Rio, construiu sua carreira em empresas nacionais e internacionais, com passagens pela McCann-Erickson, Grupo Artplan, Rede Globo de Televisão e Rede Bandeirantes. Ao longo dessa trajetória, atuou em projetos e estratégias de comunicação para marcas de grande relevância, entre elas Coca-Cola, Grupo L’Oréal, Nestlé, McDonald’s, Exxon, General Motors, Petrobrás, Banco do Brasil, CAIXA e Ambev, participando da definição e implementação de estratégias de posicionamento, comunicação e construção de marcas.
Em 1999, direcionou sua carreira para o setor de segurança digital, tornando-se executiva das áreas comercial e de marketing de uma Autoridade Certificadora brasileira. Acompanhou a criação da AC Raiz da ICP-Brasil e além de atuar no desenvolvimento do mercado de certificados SSL no Brasil.
Desde 2014, dirige a estratégia editorial do Crypto ID e também é diretora da Insania Publicidade, agência que integra o Grupo Crypto ID de Comunicação. Acesse seu LinkedIn. Leia outros artigos escritos por Regina, aqui!
Regina Tupinambá e Susana Taboas, fundadoras do Crypto ID, conversaram com Sérgio Muniz, Vice-presidente de vendas de gestão de identidades e acesso da Thales para a América Latina e Renato Antunes, CISSP & Gerente global de produto FIDO da Thales.
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
IAM: Segurança que vai além do acesso
Em um ambiente sem perímetro definido, é a identidade que define quem acessa, como acessa e até onde pode ir. E a disciplina se desdobra: o IGA governa e audita esses acessos, e o PAM protege os privilégios mais críticos. O Crypto ID, referência editorial em tecnologia e segurança digital, mantém conteúdo riquíssimo sobre IAM – Identity and Access Management e todo o seu ecossistema.
Acesse a coluna e confira.
Desde 2014, o Crypto ID trata sobre evolução das tecnologias de identificação de pessoas e de identidades não humanas (NHIs) com abordagem técnica e acadêmica. Aprofunde-se nesses temas em nossa coluna sobre Identidade. Aqui!
