Freezers viram fornos: ataque OT paralisa centenas de supermercados franceses

Este incidente é um ataque a sistemas de tecnologia operacional (OT/ICS) com consequências físicas imediatas — não há exfiltração de dados, não há ransomware, não há vítimas individuais de vazamento. O ângulo correto não é de privacidade: é de segurança de infraestrutura crítica e cadeia alimentar.

O que as vítimas confirmam: Groupement Mousquetaires (Intermarché) confirmou 150 a 200 lojas afetadas em declaração à AFP e à Bloomberg. O CEO da Coopérative U confirmou publicamente o ataque via rede social, descrevendo mobilização de equipes. O Parquet de Paris abriu inquérito de iniciativa própria — o que, no sistema francês, significa que a promotoria avaliou gravidade suficiente para agir sem aguardar queixa formal. Leclerc, Monoprix e Carrefour Market aparecem em múltiplas fontes como também afetados, mas sem confirmação direta dessas redes até o fechamento deste relatório.

O que a evidência técnica sustenta — com cautela: a Claroty Team82 documentou em agosto de 2026, no DEF CON 34, múltiplas vulnerabilidades no Danfoss AK-SM 800A — o controlador supervisor de refrigeração mais difundido em supermercados franceses. Entre elas, um mecanismo de autenticação oculto baseado em código diário (CVE-2025-41450) que permite bypass de senha de administrador, e uma falha de injeção de comandos levando a execução remota de código. Os pesquisadores demonstraram que um controlador comprometido pode desativar o resfriamento enquanto falsifica as leituras exibidas aos operadores. A varredura Censys realizada pelos mesmos pesquisadores encontrou 2.765 interfaces de gestão Danfoss diretamente acessíveis pela internet. BFMTV reporta que os sistemas atacados rodavam versões anteriores à versão 4 do software Danfoss — portanto, pré-patch. A correlação é forte. A causalidade não está confirmada: nenhuma fonte oficial — varejistas, Danfoss ou OFAC — confirmou formalmente que essas CVEs específicas foram o vetor de entrada.

O que ninguém sabe ainda: identidade e motivação dos atacantes. Não houve reivindicação, não houve demanda de resgate, não houve comunicado político. A ausência de resgate e o foco em destruição física afasta o perfil de ransomware financeiro típico — mas não é evidência suficiente para estabelecer sabotagem deliberada ou atribuição geopolítica. Qualquer especulação sobre autoria neste momento não é suportada pela evidência disponível.

Precedente relevante: em 2022, 16 supermercados russos equipados com o modelo predecessor AK-SM 800 foram atacados pelo mesmo vetor — evento documentado em nota técnica da própria Danfoss. O fabricante recomendou migração para o AK-SM 800A como resposta. O ataque francês de outubro de 2026 demonstra que a migração não ocorreu em escala e que o modelo sucessor também carregava vulnerabilidades não corrigidas em campo.

O ângulo que a cobertura dominante subestima: Danfoss sabia do risco. A empresa já havia documentado o ataque russo de 2022, já havia recebido o disclosure coordenado da Claroty em 2025 e já havia lançado o firmware R4.3.1 como correção. O que falhou não foi a pesquisa nem o patch — foi a adoção do patch pelos operadores. Isso levanta uma questão de governança que transcende a Danfoss: quem é responsável por garantir que patches de OT crítico sejam aplicados em centenas de pontos de venda distribuídos? O varejista? O integrador de sistemas? O fabricante do equipamento? O regulador setorial? A resposta a essa pergunta ainda não existe neste caso.

Impacto operacional imediato e confirmado: estoques de carne, peixe, laticínios, vegetais e congelados foram destruídos em 150 a 200 lojas Intermarché e em dezenas de unidades Coopérative U. Focos de incêndio foram relatados pelo Parquet de Paris como consequência dos equipamentos superaquecidos. Estimativas iniciais de perdas chegam a 300.000 euros para poucos estabelecimentos; projeções nacionais apontam para vários milhões de euros — sem número consolidado auditado disponível. As apólices de seguro não cobrem este tipo de incidente cibernético, segundo a RTS, o que significa que o impacto financeiro recai integralmente sobre os operadores. O impacto sobre a disponibilidade de alimentos nas comunidades servidas por essas lojas é imediato, ainda que temporário. Não há registro de vítimas humanas nem de exposição de dados pessoais.