50 °C no expositor de congelados: A noite em que sistemas de refrigeração viraram aquecedores

Ataques a sistemas de refrigeração estão obrigando supermercados europeus a descartar alimentos. Os incidentes revelam uma possibilidade inquietante: até funções normais de operação podem causar danos. A pergunta decisiva, portanto, não é apenas como os invasores entram, mas o que ainda pode detê-los depois disso.

O primeiro sinal é uma poça d’água.
Na manhã de segunda-feira, 2 de novembro de 2026, Mats Olsson entra em seu supermercado ICA em Böda, na ilha sueca de Öland, e encontra água no chão. Ele conta à emissora sueca SVT que o sistema de congelamento chegou a 55 °C e que seu estoque de produtos refrigerados e congelados foi perdido. A loja continua aberta, mas faltam justamente os produtos que seus equipamentos deveriam manter frios.

Em Estocolmo, o incidente também começa no meio da noite. Segundo a gerente de vendas Engla Ingwall, o ataque aos sistemas de congelamento de seu supermercado ICA tem início por volta das duas da manhã. Ele passa despercebido por horas. Em entrevista à Reuters, ela relata uma temperatura de 50 °C e a perda de mercadorias. Quando a manipulação digital é descoberta, a física já causou o estrago.

Ao longo do dia 2 de novembro, surgem relatos semelhantes na Bélgica, em Luxemburgo e na Estônia. Nos Países Baixos, a Danfoss confirma à NOS que pelo menos 17 empresas foram afetadas, incluindo pequenos mercados e um armazém de produtos congelados. Três semanas antes, um ataque semelhante havia atingido centenas de estabelecimentos na França. Até o momento da redação, as informações públicas não esclareciam se os responsáveis eram os mesmos.

Mas a pergunta imediata não depende de identificar os invasores: como um sistema projetado para resfriar se transforma em uma fonte de calor? A resposta está em uma função prevista para sua operação normal.

A máquina faz o que mandam. Só que para a pessoa errada.

O evaporador de um sistema de refrigeração pode acumular gelo. É necessário removê-lo regularmente para manter uma troca de calor eficiente. Dependendo do projeto, o degelo envolve interromper a refrigeração ou adicionar calor ativamente por meio de resistências elétricas ou fluido refrigerante quente. Portanto, um sistema de refrigeração pode gerar calor ou introduzi-lo de forma deliberada. Durante um ciclo normal de degelo, isso não é um defeito.

Os fatores decisivos são a duração, a sequência e os limites. Nos incidentes belgas, a prestadora de serviços de refrigeração Sabcobel informou que os evaporadores haviam sido colocados remotamente no modo de degelo. Os invasores não precisaram inventar uma nova função da máquina. Usaram uma função existente contra a finalidade do sistema.

Por trás de um expositor refrigerado, muitas vezes existe uma hierarquia inteira de controle. Controladores locais operam em conjunto com sensores e válvulas; um gerenciador de sistema de nível superior reúne informações e permite a administração remota. O Danfoss AK-SM 800A analisado pela Claroty tem uma interface web integrada para gerenciar, entre outras funções, limites de temperatura, programações, alarmes e contas de usuário. Isso evita a visita de um técnico e dá um poder considerável a quem tiver o acesso necessário.

Sistemas assim fazem parte da tecnologia operacional, ou OT: tecnologia que monitora ou influencia processos físicos. Aqui, um comando faz mais do que alterar um registro de dados. Ele pode determinar o que uma válvula, um motor ou um aquecedor fará em seguida.

Alterações maliciosas no processo não exigem necessariamente a tomada de controle do sistema operacional. Um acesso de operador com privilégios suficientes pode bastar. No framework ATT&CK para sistemas de controle industrial, o MITRE descreve esse padrão de ataque como “Modify Parameter” (T0836): parâmetros operacionais alterados levam um controlador que, de resto, funciona normalmente a executar uma sequência de operações indesejada. Isso, por si só, não determina se também houve uso de malware nesses incidentes.

Essa distinção é fundamental. Quem procura apenas arquivos maliciosos pode deixar passar uma ação de controle maliciosa. O comando pode ser formalmente válido, o software pode processá-lo corretamente e, ainda assim, o equipamento pode fazer a coisa errada. Um indicador de status verde informa apenas sobre aquilo que realmente monitora. “O sistema está funcionando” não é o mesmo que “o processo está sob controle”.

As temperaturas impressionantes divulgadas exigem a mesma precisão. Os valores programados (setpoints) não devem ser confundidos com as temperaturas do evaporador, do ar ou dos produtos. Alterar um ajuste de temperatura para 50 °C não prova que os alimentos tenham atingido essa temperatura. Uma loja afetada na Estônia ilustra isso: apesar do ajuste de 50 °C, a elevação relatada da temperatura real foi pequena. O que fez a diferença foi a rapidez da resposta.

A porta lateral que contorna a segurança da TI corporativa

O caminho até o sistema de refrigeração não precisa passar pela rede corporativa central. A ICA afirmou que as conexões das lojas afetadas operavam fora dessa rede. Isso não é um relato forense completo. Mas explica por que uma TI corporativa protegida por profissionais não garante, de forma automática, a segurança de todos os acessos de manutenção de cada loja.

Um sistema pode estar separado da rede dos caixas e ainda ter uma conexão desprotegida com o mundo externo. O NCSC britânico alerta explicitamente para vias adicionais de comunicação que os prestadores podem instalar, como conexões próprias de rede celular. Quem examina apenas as conexões conhecidas da empresa pode não perceber esses caminhos de acesso. O que importa é a conexão real com o controlador, não onde termina a responsabilidade de uma equipe e começa a de outra.

A Team82, da Claroty, documentou a dimensão potencial dessa superfície de ataque com uma consulta que identificou 2.765 dispositivos da plataforma analisada acessíveis publicamente. Era um retrato da exposição naquele momento, não uma lista de supermercados invadidos. Mas o resultado refuta a suposição tranquilizadora de que essas interfaces de gerenciamento estão sempre escondidas dentro de redes corporativas fechadas.

Nos Países Baixos, as informações divulgadas até agora apontam mais para proteções inadequadas do que para um ataque inédito e altamente sofisticado. Um porta-voz da Danfoss disse à NOS que os sistemas afetados usavam senhas padrão e não estavam conectados por uma rede protegida. Ele afirmou que o fabricante já havia recomendado remover o acesso direto à internet após o incidente francês. Essa é a versão do fornecedor, não uma reconstrução independente de cada caso.

Também existem vulnerabilidades documentadas nos produtos. Para a série AK-SM-8xxA, a Danfoss lista a CVE-2025-41450 como um problema de autenticação que afeta versões anteriores à 4.2. Nas versões anteriores à 4.3.1, a CVE-2025-41451 descreve a possibilidade de execução de comandos no nível do sistema operacional, enquanto a CVE-2025-41452 trata de uma configuração do servidor web que pode ser manipulada, potencialmente causando uma negação de serviço. As duas últimas vulnerabilidades exigem autenticação bem-sucedida.

A Team82 também descreveu um mecanismo alternativo de login, o “Code of the Day”, que podia contornar o procedimento normal de autenticação. O problema fundamental: uma senha forte de administrador não protege contra todas as falhas de um mecanismo adicional de acesso.

As fontes públicas analisadas não permitem determinar se alguma dessas vulnerabilidades foi explorada nos ataques atuais e, em caso afirmativo, qual. As famílias de produtos também não devem ser confundidas: o CERT-FR menciona sistemas Danfoss AK-SM e AK-SC, além de sistemas XWEB da Copeland e da Dixell. Portanto, uma única CVE não explica todos os incidentes.

Outro problema permanece invisível na área de vendas: o envelhecimento dos equipamentos. Segundo o fabricante, o antigo Danfoss AK-SM 800 chegou ao fim de seu ciclo de vida em maio de 2021. Em outubro de 2025, a Danfoss reiterou que o suporte aos produtos legados correspondentes havia terminado. Esse gerenciador de sistema não é o mesmo que a plataforma 800A, mais recente. As atualizações da plataforma nova não podem simplesmente ser aplicadas a todos os dispositivos antigos.

O equipamento pode continuar funcionando mecanicamente mesmo depois que seu controlador digital deixa de receber suporte. “Ainda mantém tudo frio” descreve, nesse caso, a função atual do equipamento, não a segurança de seu acesso de manutenção.

O que ainda pode deter um invasor que já fez login?

A primeira linha de defesa deve proteger o acesso à interface de administração: nenhuma exposição direta à internet, acesso remoto seguro, contas individuais e, sempre que possível, autenticação multifator resistente a phishing. O CERT-FR e o NCSC recomendam essa abordagem. Ela dificulta o acesso inicial. Mas uma arquitetura resiliente precisa então responder a uma segunda pergunta: o que um invasor realmente consegue fazer por meio de um acesso comprometido?

A autenticação verifica as credenciais. A autorização determina quais ações uma conta pode realizar. A validação dos parâmetros operacionais precisa garantir que uma alteração permitida não leve o processo para fora das condições de operação aprovadas. Essas três funções não são intercambiáveis. Por isso, o MITRE recomenda tanto permissões de alteração baseadas em papéis de usuário quanto a validação dos valores enviados diretamente na lógica de controle.

Em sistemas de refrigeração, isso significa que uma conta de manutenção autorizada a solicitar um ciclo de degelo não deveria receber automaticamente permissão para alterar todos os limites que o restringem. Consultar o estado de operação, executar operações rotineiras no sistema e modificar configurações de proteção exigem permissões diferentes. Uma chave mestra para tudo transforma o comprometimento de uma única identidade em um problema muito maior.

Esses limites não são uma ideia abstrata. A documentação do controlador Danfoss AK-CC 750, por exemplo, descreve condições baseadas em temperatura e tempo para encerrar um ciclo de degelo. Isso não demonstra que esse controlador era usado nas lojas afetadas. Mas mostra as perguntas que uma análise técnica deve fazer: quais limites existem, onde são aplicados e quem pode alterá-los?

Nem sempre basta verificar isoladamente se cada valor está dentro de uma faixa numérica permitida. Uma estratégia robusta de proteção também precisaria considerar a interação entre duração, repetição e estado do sistema. Os limites operacionais aplicáveis são os definidos pelo fabricante e pelo projeto de engenharia da instalação. Um formulário no navegador não é uma fronteira de segurança suficiente: a validação precisa ser aplicada no ponto em que o controlador realmente aceita e processa as alterações.

Igualmente importante é o grau de comprometimento ao qual as proteções foram projetadas para resistir. O uso indevido de uma conta de operador e o comprometimento completo de um controlador são cenários diferentes. Uma verificação local de software pode impor limites a uma conta com privilégios restritos. Um invasor que também controla o software ou sua configuração de proteção, porém, pode conseguir alterar essa mesma verificação. A consequência para a análise da arquitetura é clara: as proteções precisam permanecer independentes diante do cenário de ataque considerado, não apenas no organograma.

A questão mais profunda é se as funções de proteção são realmente independentes. Se o mesmo acesso administrativo pode alterar o processo e desativar seus limites, essas funções não são camadas independentes de proteção. Se também pode modificar o comportamento dos alarmes, o mesmo acesso comprometido pode atrasar a detecção. O NIST alerta explicitamente para a separação insuficiente entre funções de controle e de proteção em sistemas OT.

Para um sistema de refrigeração, isso sugere um critério claro de análise: o monitoramento adicional de temperatura é especialmente útil quando sua configuração e seu canal de transmissão de alarmes não dependem inteiramente do mesmo sistema de gerenciamento. Dois sensores que compartilham uma interface de administração passível de comprometimento não oferecem, por si só, duas camadas independentes de proteção. Um alarme também não substitui um controle que imponha limites ao processo: inicialmente, ele apenas avisa alguém de que há um problema.

Isso também explica as limitações de uma abordagem restrita à rede. Um firewall pode limitar as conexões a determinados endpoints e serviços. Isso não torna apropriada toda operação realizada por meio de uma conexão permitida. Uma inspeção mais profunda dos comandos exige conhecimento do protocolo e acesso ao conteúdo deles. A criptografia protege os dados em trânsito; ela não comprova que a instrução transmitida é adequada do ponto de vista operacional.

As informações públicas não documentam completamente quais dessas proteções existiam nos sistemas afetados nem quais falharam. A pergunta de arquitetura, porém, continua precisa: que função o acesso remoto pode acionar e que proteção posterior ainda pode impedir uma sequência perigosa de operações? Mais segmentação de rede ajuda a bloquear caminhos de comunicação não autorizados. A defesa contra uma operação perigosa, mas autorizada, também exige permissões adequadas e limites de processo.

Os minutos em que ainda é possível evitar o dano

Na Estônia, a noite terminou de outra maneira. Uma loja da Selver foi afetada depois que os invasores acessaram o computador de controle de um sistema antigo. A prestadora de serviços informou ter reagido em cerca de dez minutos. Segundo seu relato, a elevação da temperatura real foi de apenas 2 a 3 °C, e nenhum alimento foi danificado. A Selver afirmou que aquele era o último local onde o sistema mais recente ainda não havia sido implantado.

Dez minutos não são uma margem universal de segurança. O caso mostra como o tempo decorrido após um invasor obter acesso pode ser decisivo. O planejamento precisa abranger toda a resposta: detectar um desvio, avaliá-lo, tomar uma decisão e intervir de forma eficaz. Essas etapas precisam ser concluídas dentro do tempo que o processo específico ainda permite. Um alarme imediato tem pouca utilidade se ninguém for responsável por responder ou estiver em condições de agir.

Sempre que possível, a detecção deve começar antes que a perda de produtos fique visível. Um ciclo noturno de degelo não é suspeito por si só. Uma alteração é mais reveladora quando vem de uma fonte inesperada, fica fora da faixa operacional aprovada ou não corresponde a uma ordem de manutenção confirmada. O MITRE recomenda correlacionar essas observações com os dados de processo subsequentes. Não importa apenas o novo valor, mas também o que o equipamento realmente faz depois.

Em sistemas de refrigeração, os sinais a investigar poderiam incluir ciclos de degelo com duração incomum, mudanças nos limiares de alarme ou desvios simultâneos em vários dispositivos. São possíveis abordagens de detecção, não uma reconstrução dessa onda de ataques. O contexto operacional também ajuda a evitar alarmes falsos: um teste aprovado deve ser avaliado de forma diferente de uma alteração sem explicação. Mas uma janela de manutenção agendada não pode se tornar motivo para ignorar, sem análise, todas as atividades ocorridas nesse período.

Os logs precisam permitir essa comparação. Registros úteis identificariam a conta usada, o dispositivo afetado, o que mudou e quando. Quando disponíveis, o valor anterior e a ordem de manutenção associada também deveriam estar vinculados à alteração. Isso reflete um princípio enfatizado pelo NCSC: o registro de eventos deve apoiar objetivos específicos de detecção, não apenas acumular dados. Logs analisados somente depois do dano não são um aviso em tempo hábil.

Em seguida, alguém precisa ser capaz de interromper a sequência. O NCSC recomenda planos de isolamento testados: qual conexão pode ser bloqueada? Quais funções precisam continuar localmente? Como a prestadora assume a operação quando a manutenção remota não está disponível? A resposta correta não é necessariamente cortar a energia de todo o sistema. Ela deve proteger as pessoas e levar o processo a um estado predefinido e controlável.

O plano também deve estabelecer que visibilidade sobre o sistema permanece após o isolamento. Se a desconexão da manutenção remota cortar sem querer o único canal de alarme, a equipe de plantão perde justamente as informações de que precisa para avaliar a situação. O teste não é apenas saber se o acesso pode ser encerrado. É também verificar se os responsáveis ainda conseguem avaliar se a contramedida está funcionando.

Há uma distinção fácil de ignorar: o isolamento da rede não desfaz automaticamente as configurações já alteradas. Ele pode impedir novos acessos enquanto o equipamento continua operando com os parâmetros manipulados. Por isso, os especialistas precisam verificar não apenas o caminho de acesso, mas também o estado operacional real e a configuração. “Não está mais acessível” não significa que o perigo passou, assim como “voltou a funcionar” também não.

Quando isso puder ser feito sem criar riscos adicionais, os logs e as configurações relevantes devem ser preservados antes de uma redefinição. A preservação de evidências, porém, não deve atrasar as medidas de proteção necessárias. Restabelecer a refrigeração não resolve, por si só, o incidente de segurança: o CERT-FR alerta explicitamente contra simplesmente redefinir dispositivos legados vulneráveis e colocá-los de volta na internet sem proteção. Isso pode manter intacta a fragilidade original.

A recuperação, portanto, exige mais do que uma reinicialização bem-sucedida. A configuração deve corresponder a uma configuração de referência aprovada, e o processo físico precisa voltar a operar dentro dos limites previstos. Instalar um firmware novo, por si só, não comprova que o processo voltou a esses limites. O encerramento do incidente exige verificação técnica e operacional.

A preparação, portanto, não é apenas uma questão técnica. Antes de um incidente, operadores e prestadores de manutenção precisam saber quem pode bloquear um acesso à noite, quem assumirá o sistema no local e quem é responsável pelas atualizações ou pela substituição. Terceirizar a manutenção não elimina essas responsabilidades. Torna ainda mais importante definir claramente quem faz o quê.

Na próxima vez que você estiver diante de um expositor refrigerado, a primeira coisa que verá serão alimentos. Por trás deles existe uma cadeia de sensores, software, permissões e decisões. A pergunta de segurança não é apenas quais dados um dispositivo armazena. É também o que ele tem permissão para alterar em seu ambiente e quem pode intervir a tempo de impedi-lo de fazer a coisa errada.

Em Öland, uma poça d’água tornou o incidente visível. Na Estônia, o operador informou que os alimentos não sofreram danos. Entre esses dois desfechos está o verdadeiro desafio da segurança: detectar um ataque antes que os danos o revelem e manter proteções eficazes mesmo depois que um invasor consegue acesso.

Um backup pode restaurar uma configuração. Não pode apagar as horas passadas sem refrigeração adequada.

Um ataque cibernético não precisa destruir uma máquina. Às vezes, basta fazê-la fazer a coisa errada.