As autoridades norte-americanas emitiram um aviso formal sobre os ataques a sistemas de frio industrial. A 5 de novembro de 2026, a CISA, o FBI e os departamentos da Saúde (HHS), da Agricultura (USDA) e dos Transportes (DOT) publicaram uma ficha técnica conjunta. O documento alerta que atores maliciosos, a nível global, estão a explorar vulnerabilidades e fragilidades em controladores eletrónicos de temperatura e controladores de refrigeração comercial não atualizados ou acessíveis a partir da Internet, em supermercados e armazéns frigoríficos. O aviso chega depois de várias vagas de ataques na Europa, que obrigaram cadeias de supermercados a destruir mercadoria e chegaram a afetar instalações de armazenamento de sangue em França.
Resposta rápida: Cinco agências dos EUA avisam que estão em curso ataques a controladores de refrigeração industrial e de monitorização da cadeia de frio, sobretudo os que estão expostos à Internet ou que não foram atualizados. Na Europa, centenas de lojas viram os equipamentos de frio forçados a entrar em descongelação. As organizações com câmaras frigoríficas, vitrinas refrigeradas ou transporte refrigerado devem retirar estes controladores da Internet, mudar as palavras-passe de origem, atualizar o firmware, substituir os equipamentos sem suporte e configurar alertas para desvios de temperatura.
O que dizem as autoridades norte-americanas
A ficha técnica tem o título US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems. Segundo o documento, estes sistemas são muito usados nos setores da saúde, químico, alimentar e agrícola e dos transportes, incluindo no transporte refrigerado. Servem para monitorizar temperaturas de forma automática e remota, registar temperaturas em contínuo, gerir ciclos de descongelação e otimizar o consumo de energia.
Na nota de imprensa da CISA, Chris Butera, diretor executivo-adjunto interino para a cibersegurança, avisou que “todas as organizações que dependem de sistemas de refrigeração e monitorização devem assumir que podem ser um alvo”. Brett Leatherman, do FBI, sublinhou que estes sistemas protegem alimentos, medicamentos e outros produtos sensíveis à temperatura, o que os torna alvos atrativos.
O documento não identifica autores. A ficha técnica não identifica um responsável, uma campanha específica nem um número confirmado de vítimas a nível mundial. Também não refere marcas nem modelos de equipamentos. Há referências na imprensa a eventuais suspeitos, mas nenhuma atribuição foi confirmada oficialmente.
O que aconteceu na Europa
Antes do aviso norte-americano, o CERT-FR, a equipa de resposta a incidentes da agência francesa ANSSI, tinha emitido o alerta CERTFR-2026-ALE-012. Nesse alerta, o CERT-FR diz ter conhecimento de numerosas compromissões de controladores remotos de instalações de refrigeração Danfoss das séries AK-SM e AK-SC, bem como de Copeland xweb e Dixell xweb. Em outubro, os atacantes comprometeram controladores de refrigeração em cerca de 250 a 350 supermercados franceses. Ativaram remotamente as funções de descongelação e fizeram subir a temperatura de frigoríficos e arcas.
Três semanas depois, na noite de 1 para 2 de novembro, o mesmo cenário repetiu-se na Bélgica, na Suécia, nos Países Baixos e na Irlanda. Alguns sistemas desligaram-se por completo e outros chegaram a temperaturas de 50 °C. A 3 de novembro, o Estabelecimento Francês do Sangue (EFS) confirmou que um incidente num fornecedor de equipamentos de refrigeração alterou as definições de temperatura e de descongelação em três instalações onde são guardados produtos sanguíneos.
A Danfoss reconheceu os incidentes. A empresa afirmou que as unidades afetadas usavam firmware desatualizado e que há muito aconselha os clientes a manterem os sistemas atualizados e a migrarem os equipamentos antigos para soluções de geração atual. Segundo a AFP, a Danfoss classificou a maior parte do equipamento afetado como produtos “legacy” que já não recebem atualizações de software nem de segurança.
Cronologia
| Data | Acontecimento |
|---|---|
| 2025 | A Danfoss lança o firmware R4.2 e o R4.3.1 para corrigir três vulnerabilidades da série AK-SM 8xxA (aviso ICSA-25-140-03 da CISA) |
| agosto de 2026 | A Claroty Team82 publica a investigação e contabiliza 2765 controladores AK-SM 800A expostos |
| 11–12 de outubro de 2026 | Primeira vaga em França: descongelações forçadas em centenas de supermercados |
| 12 de outubro de 2026 | O CERT-FR publica o alerta CERTFR-2026-ALE-012 (atualizado até 16 de outubro) |
| 1–2 de novembro de 2026 | Segunda vaga na Bélgica, Suécia, Países Baixos e Irlanda |
| 3 de novembro de 2026 | O EFS confirma impacto em três instalações de armazenamento de sangue |
| 5 de novembro de 2026 | CISA, FBI, HHS, USDA e DOT publicam a ficha técnica conjunta |
Equipamentos visados e vulnerabilidades conhecidas
O alerta francês indica quatro famílias de produtos: Danfoss AK-SM, Danfoss AK-SC, Copeland xweb e Dixell xweb. No caso da Danfoss, a série AK-SM 8xxA já tinha falhas documentadas. Em agosto, a equipa Team82 da Claroty publicou uma análise da interface web de gestão destes controladores e contabilizou 2765 equipamentos expostos, segundo uma pesquisa no Censys.
| CVE | Tipo | Versões afetadas | Correção |
|---|---|---|---|
CVE-2025-41450 | Contorno de autenticação (palavra-passe diária, o chamado “code of the day”); CVSS v3.1 8,2 | AK-SM 8xxA anteriores a R4.2 | R4.2 |
CVE-2025-41451 | Injeção de comandos (configuração de alarmes por correio eletrónico) | AK-SM 8xxA anteriores a 4.3.1 | R4.3.1 |
CVE-2025-41452 | Controlo externo de definições de sistema ou de configuração | AK-SM 8xxA anteriores a 4.3.1 | R4.3.1 |
Segundo o aviso ICSA-25-140-03 da CISA, a CVE-2025-41450 afeta versões anteriores a R4.2 e tem uma pontuação CVSS v3.1 de 8,2. As CVE-2025-41451 e CVE-2025-41452 afetam versões anteriores a 4.3.1. No entanto, não se sabe ao certo se estas falhas foram usadas nos ataques. Um investigador da Claroty afirmou que o caminho exato usado nos ataques em França continua por confirmar. Muitos dos equipamentos comprometidos eram modelos antigos, sem atualizações disponíveis, pelo que credenciais fracas ou de origem e a simples exposição à Internet podem ter bastado. De acordo com a ficha técnica, os atacantes comprometem equipamentos por três vias: contorno de autenticação, injeção de código arbitrário ou configurações demasiado fracas.
Até ao momento, nenhuma das fontes oficiais consultadas publicou indicadores de comprometimento (IOCs), como endereços IP ou ficheiros. O sinal mais claro de um ataque é físico: subidas súbitas de temperatura, descongelações fora de horário ou pontos de regulação alterados sem explicação.
A exposição está a diminuir, mas continua alta
A Censys tem acompanhado o número de controladores visíveis na Internet. Entre 9 de outubro e 5 de novembro de 2026, o total de controladores de refrigeração expostos das duas famílias referidas no alerta caiu 53%, de 6695 para 3124 anfitriões distintos. A exposição do Danfoss StoreView desceu 76% e a dos Copeland/Dixell XWEB desceu 35%. A descida é significativa, mas ainda há milhares de equipamentos que podem ser alcançados a partir da Internet.
O que fazer já: medidas recomendadas
As recomendações das agências norte-americanas e do CERT-FR coincidem quase por completo. Para quem gere supermercados, armazéns frigoríficos, farmácias, laboratórios ou frotas refrigeradas, as medidas prioritárias são estas:
- Retirar os controladores da Internet: nenhuma interface de gestão deve ter um IP público. O acesso remoto de técnicos e fornecedores deve passar por VPN ou por uma rede protegida.
- Isolar a tecnologia operacional (OT): criar uma VLAN própria para separar os equipamentos OT das redes de negócio.
- Reforçar as credenciais: mudar as palavras-passe de origem, adotar políticas de palavras-passe fortes e, sempre que possível, usar autenticação multifator resistente a phishing.
- Atualizar ou substituir: instalar o firmware mais recente (nos Danfoss AK-SM 800A, no mínimo R4.3.1) e substituir os modelos sem suporte do fabricante.
- Limitar os pontos de regulação: definir limites razoáveis para os equipamentos a jusante dos controladores, para que fiquem dentro de valores seguros, e configurar alertas para qualquer desvio.
- Em caso de comprometimento: o CERT-FR recomenda reiniciar o equipamento Danfoss ou, se isso não resolver, repor as definições de fábrica. Depois, deve rever-se toda a configuração, incluindo os intervalos de descongelação.
Na prática, convém também ter uma sonda de temperatura independente do controlador, com alarmes enviados por outro canal. Assim, a monitorização continua a funcionar mesmo que o controlador seja manipulado.
Porque é que isto importa em Portugal
As fontes consultadas não referem incidentes em Portugal. Ainda assim, os equipamentos visados são comuns na distribuição alimentar, na saúde e na logística europeias, e estes ataques não dependem de fronteiras: basta um controlador com acesso pela Internet. Para muitas PME, como talhos, pequenos supermercados, distribuidores ou clínicas, o técnico de frio é muitas vezes a única pessoa que sabe que o equipamento tem acesso remoto ativo. Por isso, a primeira tarefa é fazer um inventário.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), que inclui setores como a saúde, os transportes e a produção, transformação e distribuição alimentar, a segurança destes sistemas OT faz parte da gestão de risco exigida. Um incidente com impacto significativo deve ser notificado ao CNCS/CERT.PT, que é também o ponto de contacto nacional para comunicar atividade suspeita. Normalmente, estes ataques não envolvem dados pessoais. Mas se o acesso ao controlador servir de porta de entrada para a rede da empresa, as obrigações do RGPD também podem aplicar-se.
Este caso mostra que um ataque informático pode ter consequências físicas diretas: mercadoria estragada, equipamentos danificados e riscos para a saúde pública. Os controladores de frio deixaram de poder ser tratados apenas como um assunto de manutenção.
Perguntas frequentes
Que sistemas estão a ser atacados?
Controladores eletrónicos de temperatura e sistemas de gestão de refrigeração comercial usados em supermercados, armazéns frigoríficos, saúde e transporte refrigerado. O alerta francês refere as séries Danfoss AK-SM e AK-SC e os sistemas Copeland e Dixell xweb.
Já se sabe quem está por trás dos ataques?
Não. A ficha técnica das agências norte-americanas não atribui os ataques a nenhum grupo nem país, e nenhuma atribuição foi confirmada oficialmente até agora.
Qual é a medida mais urgente para uma PME com câmaras frigoríficas?
Confirmar com o técnico ou fornecedor de frio se o controlador está acessível pela Internet e, se estiver, retirá-lo de imediato, permitindo o acesso remoto apenas por VPN. Em seguida, mudar as palavras-passe de origem e atualizar o firmware.
Existem correções para os equipamentos Danfoss?
Para a série AK-SM 8xxA, sim: o firmware R4.2 corrige a CVE-2025-41450 e o R4.3.1 corrige a CVE-2025-41451 e a CVE-2025-41452. Os modelos antigos, como o AK-SM 800 e o AK-SC 355, já não recebem atualizações e devem ser isolados ou substituídos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela CISA (ficha técnica conjunta), pela CISA (comunicado), pelo CERT-FR, pela CISA (aviso ICSA-25-140-03), pela Claroty Team82 e pela Censys.