Ataques entre 11 e 13 de outubro atingiram sistemas de refrigeração de duas fabricantes e reacendem o debate sobre autenticação de pessoas, máquinas e dispositivos conectados
Por Crypto ID | 14 de outubro de 2026
Um ciberataque não precisa roubar dados, bloquear servidores ou exigir pagamento de resgate para provocar prejuízos expressivos. Na França, criminosos demonstraram que o controle indevido de equipamentos conectados pode comprometer a conservação de alimentos, interromper operações comerciais e transformar uma vulnerabilidade digital em perdas físicas.
Entre as noites de 11 e 13 de outubro de 2026, ataques contra sistemas de refrigeração utilizados por supermercados franceses atingiram equipamentos de duas fabricantes: a dinamarquesa Danfoss e a Dixell, marca de tecnologia de refrigeração pertencente à norte-americana Copeland.
As temperaturas foram manipuladas remotamente, comprometendo produtos congelados e refrigerados. Funcionários precisaram descartar mercadorias, enquanto equipes técnicas tentavam recuperar o controle dos sistemas.
A Reuters confirmou, em 13 de outubro, que pelo menos 350 supermercados haviam sido afetados. Outras reportagens mencionam aproximadamente 700 estabelecimentos, mas ainda não existe um balanço oficial consolidado de todas as unidades atingidas.
Redes como Carrefour, Monoprix, Intermarché e Coopérative U estão entre as afetadas. Os prejuízos nacionais ainda estão sendo apurados e podem alcançar milhões de euros.
O episódio abre uma discussão que ultrapassa os sistemas de refrigeração: como autenticar corretamente pessoas, equipamentos e aplicações que trocam comandos em ambientes industriais conectados?
A resposta envolve identidade digital, autenticação, autorização de comandos, gestão de credenciais e proteção criptográfica das comunicações. São mecanismos distintos, que precisam funcionar de maneira integrada.
A cronologia: duas noites de ataques e diferentes fabricantes
11 para 12 de outubro: primeira onda compromete equipamentos Danfoss
A primeira ofensiva ocorreu durante a noite de domingo, 11 de outubro, para segunda-feira, 12.
Os criminosos conseguiram manipular sistemas de supervisão e controle de refrigeração da Danfoss, especialmente equipamentos das famílias AK-SM e AK-SC.
Em diversos estabelecimentos, os parâmetros de funcionamento foram alterados para provocar aquecimento e ciclos prolongados de descongelamento. Equipamentos chegaram a registrar temperaturas de até 50°C, colocando em risco a cadeia de conservação de alimentos.
Supermercados precisaram descartar estoques de produtos perecíveis. O jornal francês Le Monde relatou, por exemplo, perdas de aproximadamente € 21 mil em mercadorias em uma unidade Intermarché de Gradignan, no sudoeste da França.
Ainda em 12 de outubro, o Centro Governamental de Resposta a Incidentes Cibernéticos da França, CERT-FR, publicou o alerta CERTFR-2026-ALE-012, recomendando o isolamento dos controladores expostos à internet.
O comunicado também orientou procedimentos de recuperação para sistemas potencialmente comprometidos, incluindo restauração de fábrica, aplicação de atualizações, revisão de contas e substituição de credenciais.
12 para 13 de outubro: uma segunda fabricante também é atingida
Quando os supermercados franceses ainda contabilizavam os prejuízos da primeira ofensiva, novos ataques foram identificados na madrugada de terça-feira, 13 de outubro.
Desta vez, os sistemas comprometidos incluíam equipamentos comercializados pela Dixell, marca pertencente à Copeland.
Segundo reportagem publicada pelo Le Monde em 13 de outubro, um supermercado na região de Bordeaux identificou alterações indevidas nos parâmetros de refrigeração por volta das quatro horas da manhã.
Um técnico responsável pelo atendimento informou ao jornal que os invasores haviam substituído uma configuração de -22°C por 150°C.
É importante distinguir a alteração de uma configuração eletrônica da temperatura física efetivamente alcançada pelo equipamento. Nesse caso, a equipe técnica conseguiu intervir antes que houvesse perda de mercadorias.
O mesmo profissional relatou que os parâmetros estavam sendo modificados em uma velocidade de duas a três alterações por segundo, comportamento compatível com a utilização de mecanismos automatizados.
Em outro estabelecimento, uma unidade E.Leclerc em Lescure-d’Albigeois, os responsáveis informaram que precisaram descartar produtos em razão da quebra da cadeia de frio.
A Agência Nacional de Segurança dos Sistemas de Informação da França, ANSSI, confirmou que equipamentos Copeland xweb e Dixell xweb também estavam entre os sistemas comprometidos.
13 de outubro: investigação e milhares de interfaces expostas
A Procuradoria de Paris abriu uma investigação para identificar os responsáveis e determinar a extensão dos danos.
Até 13 de outubro, nenhum grupo havia reivindicado publicamente a autoria dos ataques ou apresentado exigência de resgate, segundo a Reuters.
A agência também identificou, por meio da plataforma Shodan, pelo menos 4.500 interfaces de equipamentos Danfoss acessíveis pela internet.
Isso não significa que todos esses dispositivos estivessem vulneráveis ou comprometidos. Entretanto, a exposição de interfaces administrativas amplia a superfície de ataque e evidencia a importância do controle de acesso remoto.
A empresa francesa Onyphe informou que versões desatualizadas de software continuavam presentes entre os equipamentos publicamente acessíveis.
As vulnerabilidades eram conhecidas antes dos ataques
Um dos aspectos mais relevantes do episódio é que pesquisadores de segurança já haviam identificado falhas importantes em determinados controladores Danfoss.
Em agosto de 2023, a fabricante publicou um comunicado de segurança envolvendo vulnerabilidades da série AK-SM 800A, incluindo falhas que poderiam permitir o comprometimento completo do sistema.
Em 24 de março de 2025, a Danfoss publicou o alerta DSA-2025-03-01, relacionado à vulnerabilidade CVE-2025-41450.
Classificada com pontuação de gravidade 8,2, a falha envolvia autenticação inadequada e possibilidade de contornar determinadas verificações de acesso.
Em agosto de 2025, outro comunicado da fabricante abordou as vulnerabilidades CVE-2025-41451 e CVE-2025-41452, relacionadas, respectivamente, à possibilidade de execução de comandos no sistema operacional após autenticação e à manipulação de configurações da interface web.
As correções foram disponibilizadas pelo fabricante.
Em agosto de 2026, pesquisadores da Claroty Team82 publicaram uma análise técnica sobre os controladores Danfoss AK-SM 800A que trouxe um detalhe especialmente importante para a discussão sobre identidade digital.
A investigação identificou um mecanismo alternativo de autenticação baseado em um código diário, aparentemente destinado a funções de suporte ou manutenção.
Segundo os pesquisadores, o mecanismo permitia gerar um código válido a partir de informações relacionadas à data do equipamento, sem necessidade de conhecer a senha convencional do administrador.
A reprodução desse algoritmo poderia permitir o acesso administrativo à interface de gerenciamento.
O problema não está simplesmente na existência de uma senha alternativa, mas na possibilidade de um mecanismo de autenticação contornar as credenciais individuais e os controles esperados para autorizar acessos privilegiados.
A Claroty informou que comunicou as vulnerabilidades à Danfoss, que disponibilizou correções.
Até o momento, entretanto, não foi demonstrado publicamente que esse mecanismo específico tenha sido utilizado nos ataques de outubro de 2026.
Essa distinção é fundamental. Uma vulnerabilidade conhecida representa uma possibilidade técnica de exploração, mas sua existência não comprova que ela tenha sido o vetor utilizado em determinado incidente.
Autenticação de humanos e máquinas: a questão que o ataque coloca em evidência
Os sistemas industriais conectados operam em um ambiente no qual diferentes identidades precisam ser reconhecidas e autorizadas.
Um técnico de manutenção pode acessar remotamente um controlador. Uma plataforma de supervisão pode enviar comandos para diversos equipamentos. Um dispositivo pode transmitir informações para outros componentes da infraestrutura. Serviços automatizados podem executar rotinas sem intervenção humana direta.
Em todos esses casos, a segurança depende de perguntas fundamentais: quem está se conectando, qual equipamento está participando da comunicação, quais operações estão autorizadas e como verificar se um comando recebido é legítimo?
O incidente francês torna especialmente relevante a investigação dos mecanismos de autenticação presentes nessas relações.
Em uma arquitetura adequadamente protegida, as credenciais de um operador humano devem permitir identificar sua responsabilidade individual. Já dispositivos e aplicações precisam dispor de identidades próprias, com mecanismos apropriados de autenticação e autorização.
Certificados digitais, infraestrutura de chaves públicas (PKI), autenticação mútua por TLS e mecanismos de gestão de identidades de máquinas são algumas das tecnologias capazes de apoiar esses controles, conforme as características de cada ambiente.
Entretanto, não basta autenticar o dispositivo ou o usuário. Também é necessário determinar quais comandos aquela identidade está autorizada a executar.
Um equipamento pode estar corretamente identificado e ainda assim receber instruções inadequadas de uma conta comprometida ou de uma aplicação com privilégios excessivos.
Da mesma forma, a utilização de criptografia para proteger uma comunicação não garante, isoladamente, que o comando transmitido seja legítimo.
É precisamente nessa relação entre identidade, autenticação e autorização que surge uma questão técnica importante para fabricantes e operadores de tecnologia operacional.
Chaves compartilhadas, credenciais de manutenção e identidades individuais
Em determinadas arquiteturas de sistemas conectados, um dos riscos possíveis está na utilização de credenciais administrativas compartilhadas, senhas padronizadas ou mecanismos comuns de autenticação.
Quando um mesmo segredo é utilizado por diferentes equipamentos ou instalações, seu comprometimento pode ampliar significativamente a exposição do ambiente.
Esse risco também pode existir quando dispositivos utilizam chaves criptográficas compartilhadas para funções de autenticação, dependendo da implementação e do protocolo utilizado.
Não há, entretanto, evidência pública de que uma chave criptográfica compartilhada tenha sido descoberta ou utilizada nos ataques aos supermercados franceses.
O que já está documentado é a existência de vulnerabilidades anteriores relacionadas à autenticação em determinados controladores Danfoss.
A análise da Claroty sobre o mecanismo alternativo de acesso reforça a importância de investigar como fabricantes implementam funções de suporte remoto, recuperação administrativa e autenticação de manutenção.
São justamente esses recursos que, quando inadequadamente protegidos, podem enfraquecer mecanismos convencionais de controle de acesso.
Para ambientes industriais e comerciais que dependem de milhares de equipamentos conectados, a individualização das credenciais, a gestão do ciclo de vida das identidades e a revogação de acessos assumem importância operacional.
A discussão não deve se restringir à proteção de usuários humanos. É igualmente necessário assegurar que máquinas, aplicações e serviços automatizados sejam identificáveis, autenticáveis e submetidos a políticas de autorização compatíveis com suas funções.
O problema não termina na atualização do firmware
A Danfoss informou que muitos equipamentos afetados haviam chegado ao fim de sua vida útil ou utilizavam versões desatualizadas de firmware.
A atualização de software é indispensável para corrigir vulnerabilidades conhecidas. Entretanto, o episódio também demonstra a necessidade de medidas complementares de segurança.
O boletim francês CERTFR-2026-ALE-012 recomendou restringir ou desconectar interfaces administrativas expostas, atualizar sistemas e, em situações de comprometimento, realizar a substituição de segredos de autenticação e a revisão dos usuários existentes.
Essas orientações evidenciam que a recuperação de um ambiente comprometido não depende apenas de instalar uma nova versão do software.
É necessário verificar se os acessos anteriormente utilizados continuam confiáveis, se contas desconhecidas foram criadas, se credenciais precisam ser revogadas e se as configurações dos equipamentos permanecem íntegras.
Em sistemas de refrigeração, energia, saúde ou automação industrial, essa verificação possui uma consequência adicional: a integridade digital está diretamente relacionada ao comportamento físico dos equipamentos.
Uma alteração indevida pode comprometer mercadorias, interromper serviços e criar riscos operacionais que ultrapassam a infraestrutura de TI.
O alerta para o mercado brasileiro
O caso francês oferece uma referência concreta para empresas brasileiras que operam com sistemas de refrigeração, climatização, automação industrial, monitoramento de ativos e infraestrutura conectada.
A crescente integração entre tecnologia da informação (TI) e tecnologia operacional (OT) amplia as possibilidades de supervisão e eficiência, mas também torna necessário revisar os modelos de autenticação e autorização utilizados nesses ambientes.
Câmaras frigoríficas, controladores industriais, sensores, equipamentos hospitalares e dispositivos de automação podem depender de conexões remotas para manutenção e administração.
Quando esses acessos não são adequadamente protegidos, vulnerabilidades digitais podem comprometer processos físicos essenciais.
O incidente também reforça a necessidade de exigir dos fabricantes informações claras sobre atualização de firmware, suporte de segurança, mecanismos de autenticação, gestão de credenciais e proteção das interfaces administrativas.
A existência de mecanismos criptográficos, por si só, não assegura a integridade de uma operação. Sua eficácia depende de como as chaves são geradas, armazenadas, utilizadas, substituídas e associadas às identidades autorizadas.
Quem estava autorizado a comandar os equipamentos?
A investigação francesa ainda precisa esclarecer como os invasores obtiveram acesso aos controladores comprometidos e quais mecanismos de autenticação e autorização foram efetivamente superados.
Também permanece relevante determinar se as diferentes ofensivas exploraram vulnerabilidades semelhantes, credenciais comprometidas ou métodos distintos.
Não há elementos públicos suficientes para atribuir os ataques à quebra de algoritmos criptográficos ou ao comprometimento de uma chave comum a todos os equipamentos.
Mas as vulnerabilidades documentadas pela Danfoss e pela Claroty demonstram que falhas de autenticação em controladores industriais são problemas concretos, capazes de permitir acessos não autorizados.
O caso francês deixa, portanto, uma questão que merece atenção de fabricantes, gestores de tecnologia e responsáveis pela segurança operacional:
Se um sistema conectado aceita instruções capazes de alterar um processo físico, como ele comprova a identidade de quem emitiu o comando e verifica se essa identidade possui autorização para executá-lo?
Essa pergunta deve ser respondida tanto para pessoas quanto para máquinas.
O desafio da cibersegurança industrial não é apenas manter equipamentos conectados e disponíveis. É garantir que cada conexão, identidade e comando seja submetido a controles de confiança compatíveis com as consequências que pode produzir no mundo físico.
Fontes consultadas
- Le Monde, 13/10/2026: reportagem sobre a segunda onda de ataques envolvendo equipamentos Dixell.
- Le Monde, 12 e 13/10/2026: cobertura dos ataques a supermercados e equipamentos Danfoss.
- Reuters, 13/10/2026: investigação francesa, fabricantes afetadas e interfaces expostas.
- CERT-FR, boletim CERTFR-2026-ALE-012, publicado em 12/10/2026 e atualizado em 13/10/2026.
- Danfoss, comunicados DSA-2023-08-01, DSA-2025-03-01 e DSA-2025-08-01.
- Claroty Team82, pesquisa técnica Freeze the Controller, Defrost the Food, agosto de 2026.
Ciberataque a 700 supermercados na França provoca perdas milionárias com alimentos
IoT, identidade e rastreabilidade: quando é preciso provar qual dispositivo gerou o dado
Ataque cibernético a usina no Reino Unido acende alerta sobre infraestrutura energética conectada
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
