Segunda onda derrete freezers na Europa — autoria desconhecida
Supermercados europeus (Bélgica, Suécia, Estônia e outros)
claimed on · assessed on
Corrigimos o registro: não é alegação de ator nem caso 'a verificar'. Varejistas, instaladores de refrigeração e o centro de cibersegurança sueco tratam o episódio de 2 de novembro de 2026 como ataque real, a segunda onda em três semanas. Ninguém assumiu a autoria, o vetor técnico não foi confirmado por fonte oficial e o total de lojas afetadas não foi consolidado.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
Houve manipulação remota não autorizada dos controladores de refrigeração em vários países na madrugada de 2 de novembro de 2026. Não foi alegação vazia nem falha casual isolada. Instaladores na Bélgica e na Estônia e uma rede varejista belga descrevem ataque. O centro nacional da Suécia confirma que atua em vários incidentes. O juízo cairia se uma perícia mostrasse causa legítima comum, como uma atualização remota defeituosa de um mesmo prestador.
O mecanismo é o mesmo da onda francesa de 12 de outubro: forçar o ciclo de degelo e aquecer câmaras e freezers. Isso vem do CEO da Sabcobel, instalador belga, e é coerente com o relato do fornecedor estoniano. A tese de que o mesmo operador estaria por trás das duas ondas tem sustentação fraca. As falhas da linha Danfoss AK-SM 800A são públicas desde agosto, então qualquer ator poderia reproduzir o método. Nenhuma fonte compartilhou indicadores técnicos que liguem as duas ondas. Uma atribuição oficial, ou indicadores comuns publicados, mudaria este juízo.
O caminho de acesso mais provável é interface de gestão remota exposta à internet, operada por empresas de manutenção, em controladores Danfoss antigos ou desatualizados. Na Estônia, o fornecedor diz que o atacante chegou ao computador de controle remoto de um sistema Danfoss de modelo antigo. A Danfoss diz que a maioria das unidades atingidas na França era legada ou rodava firmware desatualizado. Nenhuma fonte oficial identificou a vulnerabilidade explorada em nenhuma das ondas. A afirmação de que as CVE de agosto foram 'exploradas in the wild' vem de uma página de fornecedor com erros internos e não foi corroborada.
A remediação após a França foi insuficiente ou não chegou à ponta. Três semanas depois do alerta do CERT-FR e das declarações da Danfoss, a mesma classe de equipamento foi atingida de novo em outros países. O CEO da Sabcobel afirma que só atualizar software não basta e que seriam necessárias alterações físicas. Isso diverge da mensagem da Danfoss, que centra o problema em firmware desatualizado e produtos fora de suporte. A divergência indica que há controladores sem caminho de correção. Perícia que mostrasse que as unidades afetadas na Bélgica já estavam no firmware corrigido e foram invadidas por outro vetor derrubaria este juízo.
O impacto desta onda parece menor que o da França, mas não dá para dizer quanto. Os números não são comparáveis: a França teve de 350 a 700 lojas conforme a fonte, e a segunda onda soma dezenas de lojas em seis países por relatos dispersos. Cada varejista conta de um jeito (lojas, unidades, instalações). O caso da Estônia sugere que monitoramento 24 horas contém o dano: o fornecedor diz ter detectado e interrompido o ataque em cerca de dez minutos, e a loja não teve perda segundo a rede.
A ligação com as falhas de freezers em comissariados militares dos EUA é hipótese não demonstrada. O Pentágono investiga as falhas como possível ataque, e o CID do Exército disse trabalhar com a polícia francesa. Não vi evidência pública que ligue os casos, nem confirmação de que os incidentes americanos foram ataque.
Analysis
O registro tratava este caso como alegação não verificada, sem ator. A pesquisa mostra outra coisa. Não há alegação de criminoso a verificar: quem afirma o ataque são as vítimas e seus prestadores. O CEO da Sabcobel, que opera os sistemas da Delhaize, disse à Belga que foi ataque e que os evaporadores foram postos em degelo. O porta-voz da Carrefour Bélgica foi direto: não há outra explicação. O fornecedor estoniano Kitman Coldtech disse à ERR que um cliente foi atacado e que há outros. O que falta é autoria, vetor confirmado e total de lojas. Por isso o selo passa de 'claimed' para 'confirmed' e o veredito de 'unverified' para 'real'. É um incidente de destruição e indisponibilidade, não de vazamento, então não há registros nem tipos de dado a contar.
A confirmação não é uniforme. A Ahold Delhaize e a Colruyt falam em 'incidente de TI' e não usam a palavra ataque. A Sabcobel e a De Laet & Van Haver descrevem manipulação externa. Na Suécia, a ICA e a Coop disseram à AFP que não tinham informação imediata sobre ataque, e uma loja ICA em Sjöbo atribuiu o caso a hackers em rede social. O diretor do centro nacional de cibersegurança sueco disse à Reuters que trabalha em vários incidentes com sistemas de refrigeração. O CCB belga disse à The Record que não pode dar detalhes e que talvez nunca se identifique quem está por trás. Nenhum regulador ou polícia atribuiu autoria. A Record e a CBS registram que ninguém reivindicou a primeira nem a segunda onda.
Os números divergem e merecem cautela. Na Bélgica, a Sabcobel fala em cerca de 20 unidades, enquanto as redes citam cerca de 40 lojas Delhaize, 15 da Carrefour (de mais de 700, segundo a AP) e 5 da Spar. A Record diz mais de 50 na Bélgica e mais de uma dúzia em Irlanda, Estônia, Países Baixos e Luxemburgo. A Sabcobel conta unidades e as redes contam lojas, então a diferença pode ser de metodologia. Um relato de imprensa (reproduzido no Yahoo, sem veículo identificado no trecho lido) fala em pelo menos 70 lojas e em 70 °C. Todas as outras fontes citam 50 °C, e uma delas fala em 55 °C. Uma versão em alemão do despacho da Reuters trocou as unidades e escreveu cerca de 10 °C, o que é erro evidente. O 50 °C vem de gerentes de loja e do fornecedor estoniano, não de logs publicados. As perdas variam de 'pelo menos 100 mil euros' a 'milhões', sem base comum. Não existe número consolidado de lojas, países ou prejuízo.
Sobre a vulnerabilidade, a pista mais concreta vem da Estônia: o fornecedor diz que o atacante chegou ao computador de controle remoto de um sistema Danfoss de modelo antigo. Na França, a Danfoss disse ao Cooling Post que a maioria das unidades atingidas era legada ou rodava firmware desatualizado, e o CERT-FR recomendou desconectar os controladores ou filtrar o acesso. A Claroty havia documentado em agosto o bypass de autenticação por 'code-of-the-day' no AK-SM 800A. Esse mecanismo deriva a senha de administrador da data. A Danfoss publicou o aviso DSA-2025-03-01 e o firmware R4.3.1. Segundo um blog de consultoria, nenhuma fonte oficial disse qual falha foi explorada na França. Uma página de fornecedor afirma 'exploração in the wild' das CVE, mas cita os identificadores com ano trocado (2024) e versões de firmware inconsistentes com as do fabricante. Tratei essa afirmação como improvável e deixei o campo de CVE vazio, porque a relação entre essas CVE e os ataques não está demonstrada.
Há uma tensão que a cobertura não resolveu. A Danfoss põe o foco em firmware desatualizado e produtos fora de suporte. A Sabcobel diz que atualização de software não basta e que seriam necessárias modificações físicas. Se a segunda for verdadeira, parte do parque exposto não tem correção por software, e ficar sem patch deixa de ser só desleixo de operação. Também há um problema de governança: supermercados costumam terceirizar a refrigeração a prestadores que mantêm o acesso remoto, e a rede pode não controlar a segurança do equipamento. A ICA disse que seus sistemas de refrigeração são conectados de forma independente da rede central, o que ajuda a explicar por que a TI corporativa pode estar intacta e a loja parada.
Sobre o ator, nenhuma fonte sustenta nome. Nenhum ator reivindicou as ondas e não há pedido de resgate público nos relatos que li. Isso não prova ausência de motivação financeira e não permite inferir motivação de qualquer tipo. O Le Monde, citado pela Time, reportou que na França o ciclo de degelo foi esticado de uma para oito horas, o que atrasaria os alarmes. Isso indica conhecimento do comportamento do equipamento, mas não identifica quem. Dois episódios correlatos não têm vínculo demonstrado com este: o ataque a Albert Heijn e Delhaize que derrubou sites e logística em outubro (reportado como incidente distinto, sem elo técnico apurado) e as falhas em comissariados militares americanos, que o Pentágono investiga como possível ataque.
Timeline
- 09 Aug 2026A Claroty Team82 publica pesquisa sobre o Danfoss AK-SM 800A: bypass de autenticação por 'code-of-the-day', injeção de comando e negação de serviço (CVE-2025-41450/41451/41452), com correção no firmware R4.3.1 (data segundo relatos secundários).
- 12 Oct 2026Primeira onda: na noite de 11 para 12 de outubro, controladores de refrigeração de centenas de supermercados franceses são levados a degelo forçado, com perda de alimentos e incêndios em algumas lojas. A promotoria de Paris abre investigação. A Danfoss diz que a maioria das unidades era legada ou tinha firmware desatualizado. O CERT-FR emite alerta (CERTFR-2026-ALE-012, segundo relato secundário).
- 29 Oct 2026O Pentágono confirma investigação conjunta sobre falhas de refrigeração em comissariados militares dos EUA, tratadas como possível ataque cibernético. As falhas teriam começado no fim de agosto.
- 02 Nov 2026Segunda onda: por volta da meia-noite começam os incidentes na Bélgica (Delhaize, Carrefour, Spar, De Laet & Van Haver). Na Suécia, por volta das 2h locais, lojas ICA e seis lojas Coop relatam freezers a cerca de 50 °C. Na Estônia, uma loja Selver é atingida de manhã cedo e o ataque é interrompido em cerca de dez minutos. Luxemburgo, Irlanda e Países Baixos também são citados. O centro nacional de cibersegurança sueco e o CCB belga confirmam que acompanham o caso.
Impact
Perda de estoque refrigerado e congelado em dezenas de lojas na Bélgica, Luxemburgo, Suécia, Estônia e Irlanda, com os Países Baixos também citados, e fechamento temporário de algumas lojas. A rede Selver, na Estônia, disse não ter tido dano. Os valores de prejuízo não estão apurados e as estimativas publicadas vão de 'pelo menos 100 mil euros' a 'milhões'. Não há vazamento de dados reportado. O risco prático está na disponibilidade e na segurança alimentar: o controlador de refrigeração é alvo barato, com impacto físico direto. Na França, a primeira onda também causou incêndios em algumas lojas, segundo AFP/CBS, e não vi relato de incêndio na segunda.
Recommendations
- Inventarie os controladores de refrigeração (Danfoss AK-SM/AK-SC, Copeland e Dixell XWEB e equivalentes), inclusive os mantidos por terceiros, e verifique por varredura externa se alguma interface de gestão responde da internet. Se responder, remova a exposição.
- Se o acesso remoto for necessário, concentre-o em um único ponto gerenciado, com VPN e autenticação forte, restrito a IPs de confiança. Isso segue a orientação publicada pelo governo e pelo CERT-FR para esses equipamentos.
- Confirme modelo e firmware dos AK-SM 800A e atualize para a R4.3.1 ou superior. Em unidades fora de suporte ou sem caminho de atualização, isole da internet e planeje substituição. Lembre que o bypass por 'code-of-the-day' independe de senha trocada.
- Exija dos prestadores de refrigeração a lista dos acessos remotos, contas e métodos de autenticação usados nas suas lojas, com cláusula de notificação de incidente.
- Instale monitoramento de temperatura independente do controlador, com sensores e alerta fora da cadeia do equipamento, e alarmes 24 horas. Na França, o ciclo de degelo foi estendido para atrasar alarmes, e na Estônia a detecção em cerca de dez minutos limitou o dano.
- Revise os logs dos controladores e dos acessos remotos por mudanças de agenda e de duração do ciclo de degelo, logins fora do horário e novas contas. Teste um plano de contingência para remover estoque e recuperar o controlador.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Quem está por trás de qualquer das duas ondas e se é o mesmo operador. Resolveria: atribuição de polícia ou promotoria (Paris, Bélgica, Suécia) ou indicadores técnicos publicados.
Qual vulnerabilidade ou credencial foi usada em cada país. Resolveria: relatório forense do CERT-FR, do CCB ou do centro sueco, ou da Danfoss e dos instaladores.
Se os equipamentos atingidos na Bélgica e na Suécia eram Danfoss, de quais modelos e de que firmware. A Estônia aponta um Danfoss antigo. Resolveria: declaração da Danfoss sobre a segunda onda (não localizei) e dos instaladores.
Se a afirmação da Sabcobel de que só atualizar software não basta procede. Resolveria: detalhamento técnico do instalador ou comunicado do fabricante.
Total consolidado de lojas, países e prejuízo da segunda onda. Resolveria: comunicados das redes e dos reguladores. Também faltam números oficiais para Irlanda e Países Baixos.
Relação com as falhas em comissariados militares dos EUA. Resolveria: conclusão da investigação do Pentágono ou do CID do Exército.
O conteúdo primário dos alertas (CERT-FR, CCB, CISA) não foi aberto por mim: o do CERT-FR chegou por veículos e blogs. Resolveria: leitura dos avisos originais.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.