Hackers Aqueceram Geladeiras de Supermercados a 50°C (e Causaram Incêndios)

Na madrugada de domingo para segunda, 11 para 12 de outubro de 2026, centenas de supermercados na França acordaram com um problema que ninguém esperava: suas geladeiras estavam queimando. Literalmente. Alguém, do outro lado de uma conexão de internet, mandou os controladores industriais de refrigeração entrarem em modo de degelo contínuo, empurrando a temperatura para 50°C. O resultado? Incêndios, toneladas de comida no lixo e prejuízos que podem passar dos milhões de euros.

Eu acompanho cibersegurança há anos e posso dizer: esse ataque é diferente. Não roubaram dados de cartão de crédito. Não sequestraram servidores pedindo Bitcoin. Eles mexeram em equipamentos físicos. Aqueceram geladeiras até pegar fogo. Isso é terrorismo digital com consequências que você vê, cheira e sente.

O que aconteceu exatamente

O ataque atingiu pelo menos 300 lojas do Intermarché e sua marca Netto, mais de 100 unidades da Coopérative U, 80 supermercados do Carrefour e cerca de 5% das 490 lojas do Monoprix. Estamos falando de algo entre 500 e 600 supermercados afetados em uma única noite.

Os hackers acessaram remotamente os controladores de refrigeração industrial fabricados pela Danfoss, especificamente os modelos AK-SM800 e AK-SC355. Esses controladores gerenciam a temperatura de geladeiras e freezers em ambientes comerciais. Normalmente, eles mantêm tudo entre 2°C e 8°C para alimentos frescos e abaixo de -18°C para congelados.

O que os atacantes fizeram foi simples e brutal: ativaram a função de degelo (defrost) e configuraram um setpoint de temperatura de 50°C. O degelo é uma função legítima que existe para remover gelo acumulado nos evaporadores. Mas em vez de rodar por alguns minutos, os hackers forçaram o aquecimento contínuo. As geladeiras viraram fornos.

Em Haguenau, na Alsácia, um único Intermarché perdeu todo o estoque de congelados, estimado em €50.000. Um Super U próximo descartou produtos frescos e congelados com prejuízo de aproximadamente €220.000. Só nesses dois estabelecimentos: €270.000 no lixo.

Os equipamentos vulneráveis

Aqui está o detalhe que deveria tirar o sono de qualquer profissional de TI: os controladores atingidos são equipamentos legados. O AK-SC355 foi descontinuado pela Danfoss em 2016. O AK-SM800 chegou ao fim de vida útil em 2021. Nenhum dos dois recebe mais atualizações de segurança ou firmware.

Estamos falando de hardware de dez anos atrás controlando a cadeia de frio de alimentos que milhões de pessoas consomem todos os dias. E pior: conectados à internet.

A Danfoss confirmou que “a maioria dos equipamentos afetados eram produtos legados ou produtos atuais rodando firmware desatualizado”. A empresa recomendou atualizações de firmware onde disponíveis, proteções de rede mais fortes e remoção da exposição direta à internet.

Mas tem um problema óbvio aí. Se o produto é legado e não recebe mais updates, atualizar o firmware não é uma opção. A única solução real é trocar o equipamento. E supermercados que operam com margens apertadas não costumam trocar controladores que “ainda funcionam”.

As vulnerabilidades conhecidas (e ignoradas)

O mais preocupante é que esse ataque não surgiu do nada. Em agosto de 2026, apenas 63 dias antes do incidente, a equipe Team82 da Claroty publicou uma pesquisa detalhando vulnerabilidades nos controladores AK-SM 800A da Danfoss. Três CVEs foram identificadas na série AK-SM 8xxA:

A CVE-2025-41450 permite que um atacante remoto passe pela autenticação. A CVE-2025-41451 permite executar comandos arbitrários no sistema depois de autenticado. A CVE-2025-41452 permite manipular configurações do controlador. Juntas, essas três falhas criam um caminho completo: entrar sem credenciais, tomar controle, e mudar a temperatura.

As correções existiam. Estavam disponíveis. Foram publicadas meses antes. Mas nenhuma dessas CVEs aparecia no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. Traduzindo: ninguém obrigou ninguém a aplicar os patches.

Até 13 de outubro, a Danfoss não havia publicado nenhum aviso de segurança em sua página oficial sobre o incidente. Também não especificou quais versões de firmware estavam rodando nos equipamentos comprometidos da geração atual (AK-SM800A). Uma lacuna grave na comunicação.

Como controladores de geladeira acabam na internet

Essa é a pergunta que vale um milhão. Esses controladores industriais de refrigeração estão conectados à internet por meio de conexões 3G legadas, gerenciadas por terceiros (geralmente empresas de manutenção de refrigeração). A ideia original era boa: permitir monitoramento remoto de temperatura, alertas de falha e ajustes sem precisar mandar um técnico ao local.

O problema é a execução. Muitos desses dispositivos estão expostos diretamente na internet, sem firewall, sem VPN, sem segmentação de rede. E são facilmente encontráveis no Shodan, o mecanismo de busca para dispositivos IoT.

Se você procurar por “Danfoss” no Shodan agora, vai encontrar milhares de controladores com suas interfaces de gerenciamento abertas para qualquer um na internet. Alguns com senhas padrão. Outros com versões de firmware que têm vulnerabilidades publicadas. É como deixar a porta da frente aberta com um cartaz dizendo “pode entrar”.

Esse é um problema sistêmico em OT (Tecnologia Operacional). Enquanto TI corporativa evoluiu com firewalls, EDR, zero trust e SIEM, os sistemas de controle industrial ficaram parados no tempo. O técnico de refrigeração que instalou o controlador dez anos atrás não é um profissional de cibersegurança. Ele configurou o acesso remoto da forma mais simples possível e seguiu para o próximo cliente.

O impacto vai além da comida estragada

O primeiro-ministro francês Sébastien Lecornu instruiu a ANSSI (Agência Nacional de Segurança de Sistemas de Informação da França) a investigar o caso. O escritório do procurador de Paris abriu uma investigação formal sobre “o ciberataque em larga escala afetando os refrigeradores de várias grandes redes de varejo alimentar na França”.

Mas a França não foi a única. Relatos indicam que Espanha, Portugal, Polônia, Alemanha e Bélgica também foram afetados. A ANSSI está alertando agências de cibersegurança em toda a Europa porque o mesmo tipo de equipamento está instalado em supermercados de todo o continente.

O Comissário Europeu de Agricultura e Alimentação, Christophe Hansen, fez uma declaração que resume a gravidade da situação: “a instrumentalização da comida se tornou uma realidade”. Essa frase carrega um peso enorme. Estamos falando de segurança alimentar como vetor de ataque.

Pense nas consequências práticas: se esse tipo de ataque escalar, ele pode causar desabastecimento localizado, aumento de preços, risco sanitário para consumidores que comprem produtos mal conservados sem saber, e pânico público. Tudo isso sem explodir nada, sem atirar em ninguém. Só mudando um número em um controlador remoto.

IoT industrial: a superfície de ataque que ninguém protege

Esse incidente não é um caso isolado. É um sintoma de um problema estrutural que a indústria de cibersegurança vem alertando há mais de uma década: a convergência IT/OT sem segurança adequada.

Sistemas de Tecnologia Operacional (OT), como os controladores SCADA, PLCs e reguladores de temperatura, foram projetados numa era em que “conectado à rede” significava um cabo serial ligando dois equipamentos na mesma sala. Eles não têm autenticação robusta, não suportam criptografia moderna, não recebem patches regulares.

Quando alguém decidiu plugar esses dispositivos na internet para “monitoramento remoto”, criou-se uma superfície de ataque gigantesca. E o mais perigoso: invisível para a maioria das equipes de segurança corporativa.

Um levantamento da Claroty de 2025 mostrou que 82% das organizações industriais têm pelo menos um dispositivo OT exposto diretamente à internet. Desses, 63% rodam firmware com vulnerabilidades conhecidas e publicadas. É o cenário perfeito para um ataque como o que vimos na França.

O que supermercados (e qualquer empresa com IoT) deveriam fazer

O CERT-FR (time de resposta a incidentes da França) publicou recomendações específicas para empresas afetadas. Mas essas práticas valem para qualquer organização que opere dispositivos IoT industriais:

1. Inventariar tudo. Catalogar todos os controladores de refrigeração, gateways e sistemas de gerenciamento, incluindo versões de firmware. Você não pode proteger o que não sabe que existe.

2. Tirar da internet. Remover o acesso direto à internet das interfaces de gerenciamento dos controladores. Se o monitoramento remoto é necessário, usar VPN com autenticação multifator.

3. Restringir acesso de terceiros. O acesso de fornecedores e empresas de manutenção deve ser nomeado, logado, temporário e protegido por MFA. Nada de “uma senha compartilhada pelo WhatsApp”.

4. Isolar a rede de refrigeração. A rede dos controladores não pode estar na mesma VLAN que o sistema de PDV, o Wi-Fi de clientes ou a rede administrativa da loja. Segmentação de rede não é luxo.

5. Aplicar patches. Para equipamentos que ainda recebem suporte, aplicar atualizações de firmware em no máximo 14 dias para vulnerabilidades com CVSS acima de 7.0.

6. Substituir equipamentos legados. Controladores que chegaram ao fim de vida útil e não recebem mais patches precisam ser trocados. Se a substituição não for imediata, desconectar da internet.

7. Monitoramento independente. Instalar sensores de temperatura independentes que não dependam da mesma rede dos controladores. Se o controlador for comprometido, o alerta ainda funciona.

8. Procedimentos manuais de backup. Ter um plano B que não depende de tecnologia. Termômetros manuais, rotinas de verificação visual, protocolos de decisão sobre descarte de estoque.

O CERT-FR também recomendou reset de fábrica, rotação de credenciais e auditoria de contas para sistemas que possam ter sido comprometidos.

Quem está por trás do ataque?

Até o momento, a identidade dos atacantes não foi confirmada. O vetor de ataque específico também permanece não esclarecido: pode ter sido acesso direto via internet a controladores expostos, comprometimento de contas de fornecedores terceirizados, ou até mesmo acesso à infraestrutura do próprio fabricante.

A amplitude do ataque (múltiplos países, múltiplas redes de supermercados, execução coordenada em uma única noite) sugere um grupo organizado com recursos e planejamento. Não é trabalho de um script kiddie entediado.

Alguns analistas especulam sobre motivação geopolítica, dado o alvo (segurança alimentar europeia) e o timing. Mas sem atribuição oficial, qualquer teoria é especulação.

O que não é especulação é que esse tipo de ataque vai se repetir. A superfície de ataque é enorme, os equipamentos vulneráveis estão por toda parte, e o impacto é tangível e imediato. É questão de quando, não de se.

A lição para desenvolvedores e engenheiros

Se você desenvolve software para IoT, esse incidente é um estudo de caso obrigatório. Algumas lições:

Primeiro, autenticação não é opcional. A CVE-2025-41450 é uma falha de autenticação imprópria. Em 2025. Em um controlador que gerencia a cadeia de frio de alimentos. Não existe desculpa para colocar um dispositivo na internet sem autenticação robusta.

Segundo, firmware precisa de update seguro. Se o seu dispositivo não tem um mecanismo de atualização remota seguro, ele vai virar um zumbi em poucos anos. O ciclo de vida de hardware industrial é de 10 a 20 anos. O ciclo de vida de uma vulnerabilidade é de dias.

Terceiro, fail-safe é diferente de fail-secure. Um controlador de refrigeração que permite aquecer a 50°C por tempo indefinido não tem proteção fail-safe. Deveria existir um limite físico de temperatura que nenhum comando de software consegue ultrapassar. Hardware safety interlocks salvam vidas.

Quarto, segurança por design, não por acidente. O modelo atual de “plugar na internet e torcer para ninguém encontrar” precisa morrer. Dispositivos IoT industriais precisam de secure boot, comunicação criptografada, autenticação mútua e atualizações assinadas. Desde o dia zero.

50°C é só o começo

Geladeiras de supermercado parecem um alvo improvável para hackers. Mas pense no que mais está conectado com o mesmo nível de segurança: sistemas de tratamento de água, semáforos, controladores de elevadores, bombas de insulina, equipamentos hospitalares, sistemas de ventilação de edifícios.

O ataque na França mostrou que a internet das coisas, quando mal implementada, vira a internet das ameaças. E ao contrário de um ransomware que criptografa arquivos, aqui o dano é físico. Comida estragada. Incêndios. Risco real para pessoas reais.

Se você trabalha com TI, segurança ou desenvolvimento de software para qualquer tipo de dispositivo conectado, esse incidente deveria ser leitura obrigatória. Não porque seja complexo ou sofisticado. Justamente porque é simples. Assustadoramente simples.

Alguém encontrou geladeiras antigas na internet, mudou um número, e causou milhões de euros em prejuízo. Se isso não te preocupa, deveria.

—

Fonte de inspiração: Hackers activate automatic defrosting in supermarket fridges across Europe (Tom’s Hardware)