Um mês depois de centenas de supermercados franceses terem visto os frigoríficos aquecer até cerca de 50 °C durante a noite, Paris apontou um culpado. O ministro dos Negócios Estrangeiros, Jean-Noël Barrot, atribuiu os ataques de 11 e 12 de outubro ao Corpo da Guarda Revolucionária Islâmica do Irão e prometeu sanções europeias. É o desenvolvimento que faltava a um caso que a Cibersegurança.PT tem acompanhado desde o primeiro dia do ataque.
Em resumo: França atribuiu oficialmente à Guarda Revolucionária iraniana os ciberataques de 11 e 12 de outubro aos sistemas de refrigeração de cerca de 700 supermercados. Paris convocou o embaixador do Irão, a procuradoria pediu mandados de captura internacionais contra os líderes da unidade Shahid Kaveh e o Governo vai pedir sanções a nível europeu. A chefe da diplomacia da UE defendeu uma resposta forte. A atribuição cobre apenas os ataques em França; a vaga de novembro noutros países europeus, incluindo Portugal, continua sem autor confirmado.
O que disse Paris
Numa conferência de imprensa a 9 de novembro, Barrot confirmou que o ataque foi conduzido pela Guarda Revolucionária iraniana e descreveu-o como o primeiro ciberataque de grande escala com fins de sabotagem em território francês, sem precedentes na dimensão e na agressividade. Segundo o ministro, foram atingidos cerca de 700 locais.
A resposta diplomática foi imediata. França convocou o embaixador iraniano para apresentar um protesto formal, anunciou que vai impor sanções a nível europeu a todos os responsáveis e admitiu outras medidas, públicas ou não, para dissuadir ataques semelhantes. O Ministério dos Negócios Estrangeiros condenou os ataques nos termos mais firmes.
A acusação judicial: a unidade Shahid Kaveh
Em paralelo, a procuradora de Paris, Laure Beccuau, abriu um inquérito judicial contra o chefe da unidade Shahid Kaveh, um grupo cibernético ofensivo ligado ao comando cibernético e eletrónico da Guarda Revolucionária (IRGC-CEC), contra os seus dois adjuntos e contra outras pessoas que venham a ser identificadas. A procuradoria pediu mandados de captura internacionais contra os três responsáveis.
Os elementos tornados públicos são, para já, limitados:
- uso de farsi pelos atacantes;
- endereços IP que apontam para equipamentos localizados no Irão;
- a desativação simultânea dos alarmes que deveriam disparar quando a temperatura ultrapassasse os limites definidos.
A investigação técnica está a cargo da ANSSI, a agência nacional de cibersegurança francesa. Até à publicação deste artigo, o Irão não tinha respondido às acusações; Teerão costuma negar a autoria de operações cibernéticas.
Quem é o grupo apontado
A unidade Shahid Kaveh não é desconhecida. É associada pelas agências norte-americanas ao grupo que atua sob a fachada de «hacktivistas» CyberAv3ngers, também seguido pela indústria como Storm-0784, UNC5691 ou Hydro Kitten. Em 2023, este grupo comprometeu pelo menos 75 controladores industriais da marca israelita Unitronics, incluindo equipamentos de sistemas de água nos Estados Unidos, aproveitando aparelhos expostos à Internet com palavras-passe de origem.
Em fevereiro de 2024, o Tesouro norte-americano sancionou seis responsáveis do comando cibernético da Guarda Revolucionária por esses ataques, e o Departamento de Estado ofereceu até 10 milhões de dólares por informações sobre os membros do grupo. O perfil coincide com o que se viu nos supermercados: equipamentos industriais ligados à Internet, manipulados à distância para causar dano físico.
A resposta europeia
A acusação surgiu durante uma reunião do G7 em Paris. Logo após Barrot, a Alta Representante da UE para os Negócios Estrangeiros, Kaja Kallas, afirmou que tinha acabado de ser informada da atribuição e que «a nossa resposta deve ser forte».
A UE dispõe de um regime de sanções próprio para ciberataques, que permite congelar bens e proibir a entrada no espaço europeu a pessoas e entidades responsáveis, e que foi usado pela primeira vez em 2020 contra atores ligados à Rússia, à China e à Coreia do Norte. A decisão exige unanimidade dos Estados-membros no Conselho.
E os ataques fora de França?
Este é o ponto que mais interessa ao leitor português. A atribuição de Paris refere-se apenas aos ataques de outubro em território francês. A vaga de 2 de novembro, que atingiu lojas em vários países europeus, incluindo sete lojas Intermarché em Portugal, não foi oficialmente atribuída a ninguém. O mesmo se aplica ao ataque às câmaras de plasma do serviço de sangue francês e à campanha que levou cinco agências dos EUA a emitir um alerta sobre equipamentos de frio, sem apontar autores.
O método é semelhante e o calendário sugere uma ligação, mas, até haver confirmação oficial, tratar estes incidentes como uma campanha única é uma hipótese, não um facto.
O contexto
A acusação surge num momento de forte tensão com Teerão. Os Estados Unidos e Israel estão em guerra com o Irão desde fevereiro, e as autoridades francesas já tinham acusado o Irão de espalhar desinformação relacionada com os protestos em França. Os países europeus não participaram no conflito, mas o caso dos frigoríficos mostra que as infraestruturas civis europeias podem estar na linha de fogo de operações cibernéticas.
Porque é que isto importa
A atribuição muda a natureza do caso: deixa de ser um incidente de cibercrime contra o retalho e passa a ser, segundo França, uma operação de sabotagem de um Estado contra infraestruturas civis. Para as empresas, a lição técnica mantém-se: os controladores de refrigeração, de climatização e de outros equipamentos industriais ligados à Internet são um alvo real.
Em Portugal, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2) inclui a produção e distribuição alimentar entre os setores abrangidos. Retirar estes equipamentos do acesso direto à Internet, mudar as palavras-passe de origem e vigiar alterações de configuração são medidas de baixo custo que continuam por fazer em muitas organizações.
Perguntas frequentes
Quem é acusado pelo ataque aos frigoríficos dos supermercados franceses?
O Governo francês atribuiu os ataques de 11 e 12 de outubro ao Corpo da Guarda Revolucionária Islâmica do Irão. A procuradoria de Paris abriu um inquérito judicial contra o líder da unidade cibernética Shahid Kaveh, ligada ao comando cibernético e eletrónico da Guarda Revolucionária, e contra dois adjuntos.
Que provas apresentou França?
Segundo a procuradoria de Paris, os investigadores encontraram uso de farsi e endereços IP que apontam para equipamentos localizados no Irão. A procuradora referiu também que os alarmes de temperatura foram desativados em simultâneo. Os elementos técnicos completos não foram tornados públicos.
Os ataques aos supermercados em Portugal também foram atribuídos ao Irão?
Não. A atribuição francesa refere-se apenas aos ataques de outubro em França. A vaga de 2 de novembro, que afetou lojas noutros países europeus, incluindo sete lojas Intermarché em Portugal, não foi oficialmente atribuída a nenhum autor.
Que resposta prepara a União Europeia?
França anunciou que vai pedir sanções a nível europeu contra os responsáveis, e a Alta Representante da UE, Kaja Kallas, defendeu uma resposta forte. A UE dispõe de um regime de sanções específico para ciberataques, usado pela primeira vez em 2020.
Esta informação tem caráter noticioso e baseia-se em declarações públicas do Governo francês e da procuradoria de Paris, reportadas pela Reuters, AFP, Associated Press e CNN, e em documentação pública do Departamento do Tesouro e das agências de cibersegurança dos EUA.