Frigoríficos a 50 °C a meio da noite: o que se sabe do ataque que esvaziou supermercados

Na noite de domingo, 11 de outubro, para segunda-feira, 12 de outubro de 2026, um ciberataque atingiu os sistemas de controlo da refrigeração de centenas de supermercados em França. Os atacantes conseguiram ativar à distância a descongelação dos equipamentos, e as lojas tiveram de deitar fora produtos frescos e congelados. A E.Leclerc, a Intermarché e a Coopérative U confirmaram à AFP que foram afetadas, e o diretor executivo da Coopérative U classificou o ataque como “sem precedentes”. Os sistemas visados são do fabricante dinamarquês Danfoss. O Ministério Público de Paris abriu um inquérito. Ainda não se sabe por onde entraram os atacantes, mas há vulnerabilidades conhecidas nestes controladores há mais de um ano.

Arcas que aqueciam em vez de arrefecer

Este ataque não roubou dados de clientes nem bloqueou as caixas. Atingiu o funcionamento físico das lojas. Segundo o Groupement Mousquetaires, dono da Intermarché, os atacantes acederam aos sistemas de refrigeração e ativaram a descongelação, e os frigoríficos e congeladores aqueceram até 50 °C durante cerca de seis horas. A descongelação serve, em condições normais, para impedir a acumulação de gelo. Costuma funcionar cerca de duas horas por dia, mas os atacantes terão ultrapassado esses limites para a manter ligada sem parar.

A Intermarché disse à AFP que as lojas afetadas terão de “deitar fora todos os produtos” frescos e congelados. A E.Leclerc confirmou à mesma agência que o ataque atingiu um dos seus fornecedores de equipamentos de refrigeração. O Ministério Público de Paris referiu ainda focos de incêndio associados ao incidente.

Quantas lojas foram afetadas?

Os números mudaram ao longo do dia e ainda não há um balanço consolidado. As primeiras declarações das empresas apontavam para cerca de 150 a 200 lojas Intermarché e quase 100 lojas da Coopérative U. Mais tarde, as empresas indicaram à AFP que pelo menos 300 lojas Intermarché ou da sua marca Netto foram visadas, além de lojas da Coopérative U e de várias lojas E.Leclerc. Uma notícia da AFP publicada na Boursorama acrescenta cerca de trinta lojas Monoprix. A Carrefour Market também foi referida na imprensa do setor, mas as empresas ainda não o tinham confirmado.

Também não há ainda uma estimativa nacional dos prejuízos. Os casos já divulgados mostram a dimensão do problema. Só duas lojas em Haguenau, na Alsácia, terão perdido cerca de 270 mil euros, e o total pode chegar a vários milhões de euros se o número de lojas afetadas se confirmar.

Cronologia

As vulnerabilidades conhecidas nos controladores Danfoss

A Intermarché confirmou à Infosecurity Magazine que os atacantes visaram versões antigas do software Danfoss de controlo da refrigeração. As lojas afetadas usavam consolas vulneráveis com controlo remoto, sem um canal de comunicação devidamente protegido. Uma notícia da franceinfo, citada por outros meios, atribui à Danfoss a indicação de que estavam em causa sistemas antigos, como o AK-SM800 e o AK-SC355, que já não recebem atualizações. A Cibersegurança.PT ainda não conseguiu confirmar esta informação no comunicado do fabricante.

Também não há confirmação oficial de que alguma CVE concreta tenha sido explorada. Ainda não se sabe se as falhas divulgadas foram usadas no domingo, e nem as cadeias nem a Danfoss explicaram como entraram os atacantes. Mesmo assim, as falhas conhecidas mostram o tipo de risco. A CISA publicou o aviso ICSA-25-140-03 sobre a série AK-SM 8xxA, com uma pontuação CVSS v4 8.7. Segundo a agência, “explorar estas vulnerabilidades pode permitir a um atacante remoto contornar a autenticação e executar código arbitrário”.

Na investigação publicada em agosto, a Claroty Team82 descreve um mecanismo de autenticação escondido, baseado num “código do dia”, que podia ser usado para contornar a autenticação normal. Esse acesso daria controlo administrativo da interface web de gestão do equipamento. Os investigadores também procuraram equipamentos expostos online: uma pesquisa no Censys encontrou 2765 equipamentos acessíveis pela Internet. Este número mostra quantas interfaces estavam expostas, mas não quantas usavam firmware vulnerável.

Indicadores de comprometimento: até ao momento da publicação, nem as autoridades francesas, nem a Danfoss, nem as cadeias afetadas divulgaram IOC (endereços IP, domínios ou ficheiros).

Investigação em curso

O inquérito está a cargo da secção de cibercriminalidade do Ministério Público de Paris e foi “entregue ao office anticybercriminalité (OFAC)”. O objetivo é identificar todas as vítimas e ligar o ataque às perdas de alimentos que cada uma comunicou. A rede Cybernews, citando a BFMTV, refere que a ANSSI, a agência francesa de cibersegurança, identificou um software no âmbito da resposta ao ataque e está em contacto com o fornecedor. O comissário europeu da Agricultura e Alimentação, Christophe Hansen, condenou o ataque e escreveu que “a segurança alimentar exige mais atenção a todos os níveis”.

O que devem fazer as organizações com sistemas de refrigeração ligados à rede

• Fazer o inventário dos controladores Danfoss AK-SM 8xxA e de sistemas parecidos e confirmar a versão do firmware. A Claroty recomenda o R4.3.1 ou posterior.
• Substituir os equipamentos em fim de vida, que já não recebem atualizações de segurança.
• Retirar as interfaces de gestão do acesso direto à Internet e só permitir acesso remoto através de VPN com autenticação forte.
• Separar o controlo da refrigeração das redes corporativas e das redes dos terminais de pagamento, e exigir acesso autenticado e monitorizado para colaboradores e prestadores de manutenção.
• Criar alertas para mudanças de temperatura fora do normal, descongelações forçadas e alarmes desativados, e ter alarmes locais que não dependam da plataforma remota.

Porque é que isto importa em Portugal

Os controladores Danfoss são usados em supermercados, armazéns frigoríficos e outras instalações em toda a Europa, por isso o caso francês não é apenas um problema local. Mostra que a tecnologia operacional (OT), como os sistemas de frio, de climatização ou de gestão de edifícios, faz parte da superfície de ataque. É frequente estes sistemas ficarem fora dos planos de cibersegurança porque são geridos por prestadores externos.

Em Portugal, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) abrange empresas do setor alimentar, sobretudo as que fazem distribuição por grosso e produção ou transformação industrial. As entidades abrangidas têm de gerir os riscos da cadeia de fornecimento, incluindo os prestadores que controlam equipamentos à distância, e de notificar incidentes significativos ao CNCS. Um incidente como o de França, com perdas de bens e risco para o abastecimento, é exatamente o tipo de cenário que o regime quer prevenir. Os responsáveis por PME do retalho alimentar, talhos e armazéns frigoríficos podem contactar o CERT.PT para pedir orientação ou comunicar incidentes.

Até agora, nada indica que tenham sido comprometidos dados pessoais, por isso o RGPD não parece estar em causa neste caso. Isso pode mudar se se confirmar acesso a informação como nomes de utilizadores ou dados de colaboradores guardados nos controladores. Para os consumidores, o efeito mais direto é a segurança alimentar. Se a cadeia de frio falhar, os produtos têm de ser destruídos, como aconteceu em França, e não podem ser vendidos.

Perguntas frequentes

O que aconteceu aos supermercados em França?

Na noite de 11 para 12 de outubro de 2026, atacantes ativaram à distância a descongelação dos sistemas de refrigeração Danfoss de centenas de lojas. Os equipamentos chegaram a cerca de 50 °C e os produtos frescos e congelados tiveram de ser destruídos.

Que cadeias foram afetadas?

A Intermarché/Netto, a Coopérative U e a E.Leclerc confirmaram o ataque. A AFP refere também lojas Monoprix. Os números finais ainda não foram consolidados.

Foi explorada uma vulnerabilidade conhecida?

Ainda não foi confirmado. Sabe-se que os sistemas afetados usavam versões antigas do software e que há falhas públicas nos controladores AK-SM 8xxA, como CVE-2025-41450, CVE-2025-41451 e CVE-2025-41452, corrigidas no firmware R4.3.1.

O que devem fazer as empresas portuguesas com equipamentos semelhantes?

Devem atualizar o firmware, substituir equipamentos em fim de vida, retirar as interfaces de gestão da Internet, separar as redes OT e vigiar alterações de temperatura e de descongelação. Os incidentes devem ser comunicados ao CNCS/CERT.PT.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Ministério Público de Paris, AFP, Groupement Mousquetaires, Coopérative U, E.Leclerc, CISA, Danfoss e Claroty Team82.