Frigos hackeados a 50°C: cadeia de frio francesa destruída
Intermarché, Coopérative U, E.Leclerc, Monoprix (France)
claimed on · assessed on
Na madrugada de 11 para 12 de outubro de 2026, atacantes desconhecidos comprometeram controladores de refrigeração Danfoss AK-SM 800A em ao menos 400–430 supermarchés franceses de quatro redes, forçando ciclos de degelo que elevaram temperaturas a 50°C e destruíram estoques de frescos e congelados avaliados em vários milhões de euros. Não há vazamento de dados pessoais confirmado; o impacto é operacional e de segurança alimentar, tornando este o primeiro incidente público de sabotagem ciberfísica em escala nacional na cadeia de frio comercial europeia.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O ataque comprometeu sistemas de supervisão frigorífica Danfoss AK-SM 800A — o ponto de convergência entre as quatro redes afetadas. A ANSSI confirmou ter 'identificado uma vulnerabilidade em software fornecido por empresa dinamarquesa' e entrado em contato com o fabricante no mesmo dia do ataque, corroborando o vetor com confiança moderada-alta.
O vetor técnico mais provável são vulnerabilidades nas versões do AK-SM 800A anteriores à R4.2/R4.3.1 (CVE-2025-41450, CVE-2025-41451, CVE-2025-41452), disclosadas pela Claroty Team82 e pela CISA em maio de 2025 e apresentadas na DEF CON 34 em agosto de 2026. A associação não está formalmente confirmada pela investigação criminal — nenhuma fonte primária estabelece o CVE exato explorado.
O CVE-2026-15203 (Danfoss iC7, CVSS 9.3, publicado em 26/08/2026) foi mencionado em comentários na mídia especializada como possível pista adicional, mas afeta a linha iC7 (automação industrial/marítima), não os controladores AK-SM 800A usados em refrigeração comercial. Tratar os dois como mesmo vetor seria erro analítico.
Claroty identificou 2.765 interfaces AK-SM 800A expostas diretamente à internet via Censys antes do ataque. Mesmo que nem todas rodassem firmware vulnerável, a superfície de ataque era conhecida publicamente há mais de 18 meses antes do incidente.
Nenhum grupo reivindicou o ataque e nenhuma demanda de resgate foi reportada até o momento. O padrão — destruição física sem extorsão imediata visível — é consistente com motivação de sabotagem (hacktivismo, operação de influência ou teste de capacidade) mais do que com ransomware convencional. Esta inferência é de confiança baixa: ausência de reivindicação não exclui motivação financeira por outros canais.
As autoridades francesas (Parquet de Paris / seção anticibercrime, OFAC) abriram inquérito de ofício no mesmo dia. O Premier-ministre acionou a ANSSI pessoalmente. A escala da resposta institucional confirma que o Estado trata o caso como incidente de infraestrutura crítica, não como crime cibernético ordinário.
Analysis
Este incidente não é um vazamento de dados: não há registro confirmado de exfiltração de informações pessoais. O ataque é de natureza ciberfísica — os atacantes manipularam equipamentos industriais conectados à internet para causar dano físico mensurável (destruição de alimentos, risco de incêndio, prejuízo econômico). Isso o coloca numa categoria raramente vista em escala comercial na Europa.
O ponto de convergência técnica são os controladores de supervisão frigorífica Danfoss, modelo AK-SM 800A, usados pelas quatro redes afetadas (Intermarché/Netto, Coopérative U, E.Leclerc, Monoprix). A Danfoss declarou que os aparelhos visados são 'obsoletos'. A ANSSI confirmou ao entourage do Premier-ministre ter 'identificado uma vulnerabilidade em software fornecido por empresa dinamarquesa'. Nenhuma das duas fontes primárias — varejistas ou autoridades — nomeou o CVE específico explorado até o fechamento deste relatório.
O candidato técnico mais plausível são as vulnerabilidades da família CVE-2025-41450/41451/41452 no AK-SM 800A, disclosadas pela Claroty Team82 e pela CISA em maio de 2025 e apresentadas na DEF CON 34 em agosto de
2026. A CVE-2025-41450 (CVSS 8.2) permite bypass de autenticação; a CVE-2025-41451 introduz injeção de comandos OS pós-autenticação com RCE. Combinadas, permitem controle total do sistema sem credenciais válidas. O fabricante lançou correção (firmware R4.3.1), mas a adoção foi limitada na França: relatos de campo indicam que lojas afetadas rodavam versões anteriores à R4.0. Atenção: a associação direta entre esses CVEs e o ataque de 12 de outubro ainda não foi estabelecida por nenhuma fonte oficial. Não há prova técnica pública do vetor exato.
Importante distinguir o CVE-2026-15203 (publicado em agosto de 2026, CVSS 9.3), que afeta a linha Danfoss iC7 — usada em automação industrial e marítima, não em refrigeração comercial de supermercados. Parte da cobertura especializada misturou os dois produtos; o erro não é trivial e pode distorcer a avaliação de risco para operadores que usam exclusivamente AK-SM 800A.
A escala: ao menos 300 lojas Intermarché/Netto, menos de 100 da rede Coopérative U, 'vários' do agrupamento E.Leclerc e cerca de 30 Monoprix foram confirmados pelas próprias redes à AFP. Carrefour Market e outras redes aparecem em relatos de funcionários e veículo especializado, sem confirmação corporativa. A estimativa total gira entre 430 e 500+ pontos de venda, mas o número oficial não foi consolidado. Perdas financeiras são estimadas em vários milhões de euros pelo conjunto das redes; um único supermercado Intermarché em Haguenau relatou 50.000 euros de prejuízo isoladamente.
Nenhum grupo reivindicou o ataque. Não há pedido de resgate reportado. O padrão é consistente com sabotagem — motivação que pode ser econômica (seguro, pressão sobre fornecedor), hacktivista ou estatal. O contexto geopolítico não pode ser ignorado: o Premier Macron decretou medidas de proteção contra 'ataques híbridos russos' meses antes. Isso não implica atribuição — e qualquer ligação com ator estatal permanece especulação sem base pública disponível. Registra-se o contexto, não a conclusão.
Timeline
- 01 May 2025CISA emite alerta sobre vulnerabilidade de autenticação no Danfoss AK-SM 800A (CVE-2025-41450, CVSS 8.2) afetando versões anteriores à R4.2. Danfoss disponibiliza correção.
- 09 Aug 2026Claroty Team82 publica análise aprofundada do AK-SM 800A, documentando mecanismo de autenticação contornável ('código do dia') e possibilidade de execução remota de comandos. Censys aponta 2.765 interfaces expostas na internet.
- 26 Aug 2026CVE-2026-15203 publicado (Danfoss iC7-Automation SP / iC7-Marine / iC7-Hybrid, CVSS 9.3) — vulnerabilidade distinta, em linha de produto diferente do AK-SM 800A.
- 18 Sep 2026Danfoss publica aviso de segurança formal DSA-2026-08-01 referente ao CVE-2026-15203 para a linha iC7.
- 11 Oct 2026Madrugada: atacantes comprometem controladores Danfoss AK-SM 800A em centenas de supermercados franceses. Ciclos de degelo são ativados remotamente; temperaturas sobem a 50°C.
- 12 Oct 2026Intermarché e Coopérative U confirmam o ataque à AFP. Dominique Schelcher (CEO Coopérative U) publica confirmação no X. E.Leclerc confirma impacto via fornecedor frigorífico. Parquet de Paris abre inquérito de ofício e confia investigação ao OFAC. Premier-ministre Lecornu aciona a ANSSI pessoalmente.
- 12 Oct 2026ANSSI confirma ter identificado vulnerabilidade em software de empresa dinamarquesa e entrado em contato com o fabricante; começa a mapear outras empresas francesas potencialmente afetadas.
Impact
Impacto imediato confirmado: destruição total de estoques frescos e congelados em centenas de pontos de venda em território francês — leites, carnes, laticínios, produtos ultracongelados. Ao menos uma loja reportou 50.000 euros de perda individual; estimativas do setor colocam o dano total em vários milhões de euros. Paris prosecutors confirmaram que o ataque também gerou 'incêndios' em alguns pontos (superaquecimento de compressores). Não há relato de vítimas humanas. Não há dados pessoais de consumidores confirmados como vazados ou comprometidos. O impacto de segurança alimentar foi reconhecido publicamente pelo comissário de agricultura da UE, Christophe Hansen. A ANSSI abriu processo de identificação ativa de outras empresas francesas com sistemas Danfoss expostos para prevenir expansão do ataque.
Technical links
Recommendations
- Operadores de supermercados e armazéns frigoríficos com controladores Danfoss AK-SM 800A devem verificar imediatamente a versão de firmware instalada e aplicar a atualização para R4.3.1 ou superior, conforme orientação da Danfoss e da CISA (ICSA-25-140-03).
- Auditar se interfaces de gerenciamento dos controladores AK-SM 800A estão acessíveis diretamente pela internet (verificar via Shodan/Censys com o fingerprint do produto). Caso positivo, remover o acesso público imediatamente e implementar acesso via VPN com MFA.
- Implementar monitoramento de anomalias nos sistemas BMS/SCADA de refrigeração: alertas para mudanças de setpoint fora de janelas operacionais normais, ativação de ciclos de degelo fora do horário programado e alterações de configuração sem autenticação de dois fatores devem disparar resposta imediata.
- Redes com múltiplos fornecedores de equipamentos de refrigeração conectados devem mapear o inventário de todos os controladores ICS/OT em loja com acesso remoto habilitado e aplicar segmentação de rede (VLAN dedicada sem rota direta para internet) antes de qualquer outra medida.
- Empresas que ainda operam hardware AK-SM 800 (geração anterior, declarada end-of-life em maio de 2021 pela Danfoss) devem priorizar substituição — não apenas atualização de firmware — pois esse equipamento não recebe mais correções de segurança.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
O CVE ou cadeia de vulnerabilidades exata explorada não foi divulgado — a ANSSI ou o OFAC precisam publicar relatório técnico preliminar para fechar esta lacuna.
O vetor de acesso inicial (internet direta, VPN comprometida, supply chain do fornecedor de manutenção remota) não foi confirmado por nenhuma fonte oficial — logs dos controladores e análise forense da Danfoss ou dos varejistas resolveriam.
O número total de lojas afetadas não foi consolidado oficialmente — um comunicado conjunto das redes ou um boletim do Parquet de Paris com o resultado do censo de vítimas do OFAC resolveria.
Nenhum ator foi identificado ou reivindicou o ataque — a continuidade da investigação do OFAC e eventual cooperação com Europol/CISA é o caminho; sem isso, a atribuição permanecerá aberta.
Não está claro se houve acesso via internet pública a controladores ou via rede interna comprometida — Shodan/Censys mostravam 2.765 interfaces Danfoss AK-SM 800A expostas, mas não confirmam que as lojas francesas estavam entre elas.
A posição da Danfoss sobre responsabilidade e sobre a adoção do patch R4.3.1 pelos varejistas afetados não foi declarada publicamente — uma declaração formal do fabricante ou do regulador dinamarquês de cibersegurança (CFCS) esclareceria o ciclo de atualização recomendado vs. implementado.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.