Na noite de 1 para 2 de novembro, freezers e refrigeradores de pelo menos 11 países europeus dispararam suas temperaturas — em alguns casos, até 50 °C. O ataque não foi isolado: três semanas antes, cerca de 700 supermercados franceses já haviam sido atingidos. Desta vez, o cerco se expandiu para Bélgica, Suécia, Finlândia, Irlanda, Itália, Luxemburgo, Países Baixos, Portugal, Alemanha, Estônia e até o Reino Unido. Em alguns pontos da cadeia de suprimentos britânica, a temperatura chegou a 100 °C. A escala é enorme, mas a técnica é surpreendentemente simples: interfaces de administração expostas na internet, credenciais de fábrica e firmware desatualizado.
O que tornou o caso particularmente preocupante não foi a sofisticação do ataque — ele pode ser descrito em uma frase de jargão técnico como "exploração de credenciais padrão em interfaces web de controladores IoT/OT" —, mas a exposição massiva de equipamentos que ninguém imagina que sejam vulneráveis. Controladores de refrigeração conectados à internet não são apenas "geladeiras inteligentes"; são dispositivos de controle industrial que, quando comprometidos, têm impacto físico direto: comida estragada, prejuízos na casa de dezenas de milhões de euros e, em um caso, alarmes disparados em bancos de sangue franceses.
Duas vagas, um padrão
A primeira onda ocorreu na madrugada de 11 para 12 de outubro, atingindo aproximadamente 700 supermercados na França. O CERT-FR emitiu o alerta CERTFR-2026-ALE-012 em 12 de outubro, identificando quatro famílias de produtos: Danfoss AK-SM série, Danfoss AK-SC série, Copeland XWEB e Dixell XWEB. Danfoss confirmou que os dispositivos mais afetados eram modelos antigos AK-SM 800 e AK-SC 355 — ambos em end of life, sem mais suporte de firmware desde 2016 e 2021, respectivamente.
A segunda onda chegou em 2 de novembro e se espalhou por pelo menos 10 países adicionais. Desta vez, além dos supermercados, três unidades do EFS (Établissement français du sang) tiveram seus controladores de refrigeração comprometidos via um fornecedor de equipamentos. As temperaturas de câmaras que operam a −30 °C foram elevadas a 110 °C. Por sorte, os sistemas de alarme responderam a tempo: nenhum produto de sangue ou amostra foi comprometido. Mas o incidente ilustrou como o mesmo vetor de ataque pode escalar de padarias a bancos de plasma.
Reconhecimento prévio
Afirmar que o ataque foi "simples" seria reducionista. A firma de segurança Lupovis observou, através de honeypots que replicam sistemas de clientes, uma onda de reconhecimento entre 20 e 30 de outubro: mais de 276 tentativas de autenticação provenientes de 91 atores de ameaça distintos, tentando credenciais padrão em controladores Danfoss. A atividade culminou em 26 de outubro e parou abruptamente — um padrão que especialistas em threat intelligence associam a operações coordenadas, possivelmente envolvendo state actors, que testam a superfície de ataque antes do golpe principal.
George Nott, editor de tecnologia do The Grocer, explicou à Euronews que muitos dos sistemas afetados eram acessíveis com credenciais de fábrica como "Username: Supervisor" e "Password: 12345". Kumar Sokka, CEO da Acre Security, completou: "O freezer não é especial. É apenas o exemplo mais visível de uma categoria muito maior". O mesmo controlador que aquece freezers também comanda portas, câmeras de acesso, alarmes, iluminação e aquecimento em qualquer estabelecimento.
O que falta
Até esta data, nenhum grupo assumiu oficialmente a responsabilidade pelos ataques. Dois grupos hacktivistas pró-russos — NoName057(16) e Z-Pentest — reivindicaram a autoria em postagens no Telegram em 3 de novembro, mas suas alegações permanecem sem verificação. A CISA publicou um alerta em 5 de novembro, descrevendo os vetores como "bypass de autenticação, injeção arbitrária de código e configurações fracas". Nenhum CVE foi oficialmente vinculado aos ataques, apesar de já existirem CVEs publicados para vulnerabilidades correlatas: CVE-2025-41450 (bypass de autenticação no Danfoss AK-SM 8xxA, corrigido em R4.2) e CVE-2025-41451 (injeção de comandos pós-autenticação, corrigida em R4.3.1).
A ausência de um CVE oficial para os ataques de novembro é um sintoma de um problema mais amplo: muitos controladores afetados estão em end of life e não recebem correções. Um factory reset em um dispositivo ainda exposto à internet não basta — ele continuará vulnerável. A recomendação da CCB (Bélgica) é clara: atualizar o firmware, alterar credenciais padrão, definir nível de segurança em "Strict" e, em equipamentos sem patch disponível, isolar a interface de administração da rede.
E o que vem depois?
O NCSC do Reino Unido já alertou que o país sofrerá um ataque cibernético com IA contra infraestruturas críticas nacionais nos próximos dois anos. Mas não é preciso IA para aquecer freezers: credenciais padrão, interfaces expostas e firmware desatualizado fazem o serviço. O problema não é falta de regulamentação — a diretiva NIS2 da UE exige gerenciamento de riscos de sistemas de rede e informação, incluindo medidas de segurança e gestão de ativos. O problema é que organizações frequentemente tratam manutenção como manutenção, ignorando que controladores de refrigeradores conectados são, no fundo, sistemas operacionais de tecnologia industrial (OT) acessíveis remotamente.
Quando a próxima onda vier — e a CCB recomenda manter monitoramento ativo — ela provavelmente não será contra freezers. Será contra qualquer controlador IoT/OT que alguém, em algum momento, deixou exposto na internet com senha de fábrica. E a pergunta que fica é se a cadeia fria europeia, já sob pressão de inflação alimentar e mudanças climáticas, tem capacidade logística para sustentar uma campanha de desinformação cibernética tão visível e fisicamente devastadora.
Fontes: Palo Alto Networks Unit 42, Euronews, BBC News
✓ Fontes independentes cruzadas e verificadas antes da publicação
