Falhas em controladores de refrigeração já eram conhecidas antes de ataques a supermercados na França
Os ataques que afetaram sistemas de refrigeração de supermercados franceses no domingo, dia 11, exploraram um tipo de risco que havia sido divulgado publicamente em 9 de agosto. Naquela data, pesquisadores da equipe Team82, da Claroty, apresentaram o tema durante uma palestra em Las Vegas e publicaram uma análise detalhada sobre vulnerabilidades em controladores da fabricante Danfoss.
As falhas foram encontradas na plataforma AK-SM 800A, usada para monitorar e controlar equipamentos de refrigeração comercial. O estudo identificou três problemas distintos, capazes de permitir desde a evasão do processo normal de autenticação até a execução remota de comandos e a interrupção do serviço.
A vulnerabilidade CVE-2025-41450 está relacionada a um mecanismo de autenticação oculto, baseado em um código diário, que pode ser usado para contornar o login convencional. Já a CVE-2025-41451 permite injetar comandos pela página de configuração de SMTP, abrindo caminho para a execução remota de código. A terceira falha, CVE-2025-41452, possibilita que um usuário autenticado insira diretivas Nginx, com potencial para manipular o tráfego e provocar uma negação de serviço.
A Danfoss disponibilizou correções para os problemas no firmware R4.3.1. Apesar disso, a exposição de equipamentos desse tipo à internet amplia as oportunidades de exploração, sobretudo quando sistemas permanecem desatualizados ou protegidos por controles insuficientes. A investigação da Claroty encontrou 2.765 dispositivos AK-SM 800A acessíveis pela rede pública, identificados por ferramentas de varredura como Shodan e Censys.
O alerta das autoridades francesas também passou a abranger outras plataformas. Um comunicado do CERT-FR informou que os incidentes envolvem sistemas Copeland XWEB e Dixell XWEB, usados na supervisão de instalações de ar-condicionado e refrigeração comercial. Segundo o órgão, há diversos comprometimentos relacionados a essas soluções, além dos controladores Danfoss AK-SM e AK-SC. A recomendação é retirar esses ativos da exposição direta à internet.
Na França, os invasores conseguiram acionar remotamente o modo de degelo forçado em milhares de unidades. Esse procedimento, quando ativado fora das condições previstas, pode elevar a temperatura dos equipamentos e colocar em risco a conservação de alimentos frescos e congelados. O episódio mostra que uma invasão a sistemas industriais ou de automação predial pode produzir consequências físicas e operacionais, sem se limitar ao roubo de dados.
A holding Les Mousquetaires, responsável pelas redes Intermarché e Netto, informou que aproximadamente 150 lojas foram afetadas. A Monoprix, por sua vez, declarou que o incidente atingiu 5% de suas mais de 400 unidades. A dimensão dos impactos pode variar conforme a configuração dos equipamentos, o tempo de indisponibilidade e a rapidez com que cada estabelecimento conseguiu restabelecer o controle da refrigeração.
A Procuradoria de Paris abriu uma investigação sobre o ataque e sobre incêndios relatados em alguns locais. A agência francesa de cibersegurança ANSSI também foi mobilizada. As apurações deverão esclarecer como os invasores obtiveram acesso, quais sistemas foram comprometidos e se os incidentes estão ligados a uma única operação ou a diferentes campanhas.
Para empresas que utilizam controladores de refrigeração, o primeiro passo é verificar o modelo e a versão do firmware instalados. Quando houver uma atualização de segurança disponível, sua aplicação deve ser planejada com prioridade, considerando os procedimentos operacionais necessários para evitar interrupções inesperadas. Também é importante identificar equipamentos antigos ou sem suporte, que podem exigir substituição ou medidas adicionais de proteção.
A redução da exposição à internet é outra medida essencial. Interfaces de administração de sistemas de refrigeração não devem ficar acessíveis publicamente sem necessidade. O acesso remoto pode ser limitado a redes privadas, VPNs e endereços autorizados, com autenticação forte e contas individuais. Senhas padrão ou compartilhadas devem ser substituídas, e os privilégios concedidos a cada usuário precisam se restringir ao necessário para sua função.
Além da correção das falhas, organizações devem monitorar tentativas de login, alterações de configuração e comandos fora do padrão. A segmentação da rede ajuda a impedir que um equipamento comprometido seja usado como ponto de entrada para outros sistemas da loja. Registros centralizados e alertas para mudanças incomuns podem facilitar a identificação de uma invasão antes que ela afete a temperatura dos produtos.
Por fim, planos de resposta a incidentes precisam incluir a possibilidade de falha nos controles de refrigeração. Equipes de segurança, manutenção e operação devem saber como isolar os equipamentos, acionar o suporte técnico e acompanhar manualmente as temperaturas durante uma interrupção. Em ambientes que dependem da conservação de alimentos, a cibersegurança também é parte da continuidade do negócio e da proteção dos consumidores.