Hackers degelam freezers de centenas de supermercados franceses
Carrefour France (e outras redes varejistas francesas)
claimed on · assessed on
Na madrugada de 11 para 12 de outubro de 2026, atacantes desconhecidos assumiram controle remoto de controladores de refrigeração Danfoss em centenas de supermercados franceses, forçando temperaturas de até 50 °C e causando perdas de alimentos, incêndios e prejuízos estimados em dezenas de milhões de euros. O Carrefour confirmou 80 unidades afetadas; o incidente não é um vazamento de dados — é um ataque destrutivo à infraestrutura operacional (OT) da cadeia de frio, sem reivindicação e sem método de intrusão divulgado até o momento.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O vetor de acesso explorou controladores Danfoss (séries AK-SM e AK-SC) expostos diretamente à internet — prática documentada como má configuração estrutural do setor, não uma vulnerabilidade zero-day recém-descoberta. O CERT-FR confirmou 'numerosas comprometimentos' dessas séries em 12 de outubro, sem atribuir CVE específico como causa.
Os modelos mais afetados (AK-SM 800 e AK-SC 355) já estavam em fim de vida — o AK-SC 355 desde 2016 e o AK-SM 800 desde maio de 2021 — sem mais receber atualizações de segurança. Danfoss confirmou isso publicamente à Reuters. A exposição desses equipamentos ao acesso remoto sem controle de rede é a raiz do risco, independentemente de qual CVE foi eventualmente explorado.
As CVEs documentadas pela Claroty/Team82 (CVE-2025-41450, CVE-2025-41451, CVE-2025-41452) nos controladores AK-SM 800A são candidatas técnicas plausíveis, mas nenhuma autoridade ou empresa confirmou até 13 de outubro que foram estas as falhas exploradas neste incidente. Tratar essa ligação como estabelecida seria uma extrapolação.
A ausência de reivindicação, a escala coordenada do ataque e o timing noturno (máxima janela antes da abertura das lojas) são consistentes com um ator motivado por impacto econômico ou disruptivo, mas não permitem atribuição de intenção, origem geopolítica ou tipologia de grupo.
O número de lojas afetadas diverge entre fontes: Intermarché cita entre 150 e 300+ dependendo da fonte consultada; Carrefour confirmou 80 à Reuters e ao Le Parisien; Coopérative U confirmou dezenas; E.Leclerc e Monoprix confirmaram impacto sem quantificar. O total de 'cerca de 500' citado pelo Cooling Post não tem confirmação das redes. A distância entre estimativas é informação relevante, não ruído.
O registro original desta entrada estava categorizado com país 'BR' (Brasil) — erro de catalogação. O incidente ocorreu na França; o Carrefour afetado é a operação francesa do grupo. A correção é necessária.
Analysis
Este incidente não se enquadra no padrão típico de ransomware ou vazamento de dados. É um ataque destrutivo a sistemas operacionais (OT/ICS), que produziu consequências físicas mensuráveis: alimentos descartados, incêndios em equipamentos e perdas financeiras imediatas. O Carrefour é uma das múltiplas vítimas de um ataque sistêmico direcionado à infraestrutura de refrigeração conectada do varejo alimentar francês — não o alvo primário ou único.
O registro interno deste caso estava incorretamente catalogado com país 'BR' (Brasil). A organização afetada é a operação francesa do Grupo Carrefour. Corrijo aqui: país FR, setor varejo alimentar.
O ponto técnico central é a exposição prolongada de controladores industriais legados à internet sem proteção adequada. O CERT-FR (CERTFR-2026-ALE-012) confirmou em 12 de outubro comprometimentos nos modelos AK-SM e AK-SC da Danfoss — equipamentos que, no caso das séries mais antigas, já estavam fora de suporte há 5 a 10 anos. Danfoss admitiu à AFP que a maioria dos equipamentos afetados eram 'produtos de gerações antigas' sem mais atualizações de segurança. A Synacktiv, empresa francesa de segurança ofensiva, afirmou ter encontrado, em auditoria recente, equipamentos de refrigeração acessíveis da internet sem senha — confirmando que o problema é estrutural no setor.
A relação com as CVEs publicamente documentadas (CVE-2025-41450, CVE-2025-41451, CVE-2025-41452) é plausível mas não estabelecida. A Claroty/Team82 publicou pesquisa detalhada sobre essas falhas no modelo AK-SM 800A em agosto de 2026 e identificou 2.765 dispositivos acessíveis via internet — uma janela pública de ataque de meses. Porém, os modelos mais afetados neste incidente (AK-SM 800 e AK-SC
355) são gerações anteriores ao 800A, e o CERT-FR não atribuiu CVE específico em seu alerta. O gap entre o que a pesquisa documentou e o que foi explorado aqui permanece aberto.
A variação nos números é considerável e merece atenção analítica. Para Intermarché/Netto: as fontes oscilam entre 150 e mais de 300 lojas, o que sugere que a própria rede ainda estava consolidando o impacto ao longo do dia
12. Para Carrefour: 80 unidades confirmadas diretamente pela empresa à Reuters e ao Le Parisien — número mais sólido. O total de 'cerca de 500 lojas' circulado pelo Cooling Post não tem confirmação das redes varejistas e deve ser tratado como estimativa jornalística, não dado oficial. Thierry Cotillard (Les Mousquetaires) estimou perdas 'em dezenas de milhões de euros em toda a França'; dois supermercados em Alsácia reportaram €270 mil de perdas combinadas, segundo BFM TV. Não há número nacional consolidado.
A ausência de reivindicação é dado analiticamente relevante. Ataques destrutivos sem resgate e sem reivindicação podem indicar motivação disruptiva (não financeira), erro operacional de um grupo que não pretendia escalar até esse ponto, ou um ator que prefere operar sem assinatura. Nenhuma dessas hipóteses tem suporte probatório neste momento. O governo francês avalia possível extensão do risco a outros países, e a ANSSI trabalha com contrapartes europeias — o que indica que a ameaça pode não estar contida à França.
Timeline
- 01 Jan 2016Danfoss encerra suporte ao controlador AK-SC 355, que continua operando em supermercados franceses sem atualizações de segurança.
- 01 May 2021Danfoss declara fim de vida do controlador AK-SM 800, também amplamente ainda em uso no varejo francês.
- 24 Mar 2025Danfoss publica advisory DSA-2025-03-01 descrevendo CVE-2025-41450 (bypass de autenticação, CVSS 8.2) em controladores AK-SM 8xxA, reportado pela Claroty/Team82.
- 01 Aug 2025Danfoss publica DSA-2025-08-01 cobrindo CVE-2025-41451 (command injection, RCE pós-autenticação) e CVE-2025-41452 (injeção de configuração Nginx) nos mesmos controladores. Patch lançado: firmware R4.3.1.
- 09 Aug 2026Claroty/Team82 publica pesquisa pública sobre as três CVEs no AK-SM 800A, incluindo apresentação na DEF CON 34. Censys aponta 2.765 dispositivos AK-SM 800A acessíveis diretamente pela internet.
- 11 Oct 2026Durante a noite (domingo para segunda-feira), atacantes acessam remotamente controladores Danfoss em centenas de supermercados franceses e ativam ciclo forçado de degelo, elevando temperaturas a até 50 °C por aproximadamente seis horas.
- 12 Oct 2026Funcionários descobrem na abertura das lojas freezers superaquecidos, alimentos estragados e, em alguns pontos, princípios de incêndio. Intermarché, Coopérative U e Carrefour confirmam o incidente à AFP e à Reuters. Carrefour informa 80 supermercados afetados em suas quase 6.000 lojas na França.
- 12 Oct 2026CERT-FR publica alerta CERTFR-2026-ALE-012 confirmando 'numerosas comprometimentos' de controladores Danfoss AK-SM e AK-SC, recomendando desconexão imediata da internet ou filtragem estrita de acesso. Parceiro de ANSSI.
- 12 Oct 2026Parquet de Paris abre inquérito de iniciativa própria sobre 'ciberataque de grande escala afetando refrigeradores conectados de vários grandes distribuidores alimentares em todo o território francês', confiado ao OFAC (Office anticybercriminalité).
- 12 Oct 2026Primeiro-ministro Sébastien Lecornu solicita à ANSSI que investigue. Danfoss declara à AFP que 'a maioria das unidades atingidas são produtos de gerações antigas que chegaram ao fim de vida e não recebem mais atualizações de software ou segurança'.
- 12 Oct 2026Diretor-geral da ANSSI, Vincent Strubel, declara à AFP ser 'urgente desconectar da internet os controladores Danfoss série AK-SM e AK-SC, ou adotar ao mínimo uma política de filtragem de rede muito restritiva'.
- 13 Oct 2026Nenhuma reivindicação de autoria conhecida. Investigação da ANSSI segue em andamento, coordenada com agências europeias. Commissário europeu para agricultura Christophe Hansen condena o ataque como 'weaponisation of food'.
Impact
Carrefour confirmou 80 supermercados afetados (de cerca de 6.000 na França). Intermarché/Netto reportou entre 150 e 300+ lojas; Coopérative U, dezenas; Monoprix, cerca de 5% de sua rede (~490 lojas); E.Leclerc, impacto não quantificado. O impacto prático foi o descarte total de todos os alimentos frescos e congelados nos equipamentos afetados — yogurtes, carnes, congelados, laticínios — para evitar risco sanitário. Em pelo menos alguns pontos houve princípios de incêndio nos equipamentos superaquecidos. Les Mousquetaires estimou perdas em 'dezenas de milhões de euros' em escala nacional. Dois supermercados em Alsácia reportaram €270 mil combinados. Nenhum dado oficial de mortos ou feridos. Impacto nos consumidores locais: prateleiras de frios esvaziadas, necessidade de reposição de estoque que pode levar vários dias. Não há indício de comprometimento de dados pessoais de clientes neste incidente.
Technical links
Recommendations
- Desconectar imediatamente da internet qualquer controlador Danfoss das séries AK-SM e AK-SC em operação. Se o acesso remoto for operacionalmente imprescindível, restringir acesso apenas a IPs confiáveis via firewall de camada de rede — conforme instrução direta do CERT-FR (CERTFR-2026-ALE-012).
- Para controladores AK-SM 800A ainda em suporte, verificar versão de firmware e aplicar atualização para R4.3.1 ou superior (versão 5.3.x disponível em outubro de 2026), cobrindo CVE-2025-41450, CVE-2025-41451 e CVE-2025-41452.
- Controladores AK-SM 800 e AK-SC 355 (fim de vida, sem mais patches de segurança) devem ser tratados como ativos irrecuperáveis do ponto de vista de segurança e priorizados para substituição — não existe caminho de remediação via patch para esses modelos.
- Implementar sensores de temperatura independentes com sistema de alarme próprio (separado do controlador Danfoss) para detectar anomalias térmicas antes que causem dano irreversível ao estoque — ao menos um supermercado relatou que o alarme do próprio controlador não disparou ou disparou com atraso.
- Realizar inventário de ativos OT/ICS expostos à internet com ferramentas de varredura passiva (ex.: Censys, Shodan). A Claroty identificou 2.765 dispositivos AK-SM 800A acessíveis globalmente antes do ataque — verificar se algum equipamento da organização consta nessas listas.
- Revisar contratos com fornecedores de manutenção de refrigeração para exigir que o acesso remoto desses prestadores passe por VPN com autenticação multifator, nunca por interface de gestão diretamente exposta à internet.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
O método exato de intrusão nos controladores Danfoss não foi divulgado por nenhuma autoridade ou pela Danfoss — o CERT-FR não nomeou CVE. Somente a divulgação do relatório técnico de ANSSI/OFAC ou de Danfoss resolveria essa lacuna.
Não há atribuição de autoria: nenhum grupo reivindicou o ataque até 13 de outubro. Monitoramento de fóruns de cibercrime e comunicação de inteligência entre ANSSI e parceiros europeus podem gerar atribuição futura.
O número total de lojas afetadas em toda a França permanece sem consolidação oficial — as redes divulgaram números parciais em ritmos diferentes ao longo do dia
12. Um balanço oficial do OFAC ou comunicados finais das redes resolveriam isso.
O valor total das perdas financeiras não tem cifra oficial nacional — apenas estimativa de Les Mousquetaires e casos pontuais de BFMTV. Relatórios de seguros e balanços das redes nos próximos trimestres serão as fontes definitivas.
Ainda não se sabe se outros países (além da França) foram afetados pela mesma campanha. ANSSI declarou estar coordenando com agências europeias; nenhum incidente confirmado fora da França até o momento da apuração.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.