Frigos hackeados a 50°C: cadeia de frio francesa destruída
Intermarché, Coopérative U, E.Leclerc, Monoprix (France)
alegado el · verificado el
Na madrugada de 11 para 12 de outubro de 2026, atacantes desconhecidos comprometeram controladores de refrigeração Danfoss AK-SM 800A em ao menos 400–430 supermarchés franceses de quatro redes, forçando ciclos de degelo que elevaram temperaturas a 50°C e destruíram estoques de frescos e congelados avaliados em vários milhões de euros. Não há vazamento de dados pessoais confirmado; o impacto é operacional e de segurança alimentar, tornando este o primeiro incidente público de sabotagem ciberfísica em escala nacional na cadeia de frio comercial europeia.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O ataque comprometeu sistemas de supervisão frigorífica Danfoss AK-SM 800A — o ponto de convergência entre as quatro redes afetadas. A ANSSI confirmou ter 'identificado uma vulnerabilidade em software fornecido por empresa dinamarquesa' e entrado em contato com o fabricante no mesmo dia do ataque, corroborando o vetor com confiança moderada-alta.
O vetor técnico mais provável são vulnerabilidades nas versões do AK-SM 800A anteriores à R4.2/R4.3.1 (CVE-2025-41450, CVE-2025-41451, CVE-2025-41452), disclosadas pela Claroty Team82 e pela CISA em maio de 2025 e apresentadas na DEF CON 34 em agosto de 2026. A associação não está formalmente confirmada pela investigação criminal — nenhuma fonte primária estabelece o CVE exato explorado.
O CVE-2026-15203 (Danfoss iC7, CVSS 9.3, publicado em 26/08/2026) foi mencionado em comentários na mídia especializada como possível pista adicional, mas afeta a linha iC7 (automação industrial/marítima), não os controladores AK-SM 800A usados em refrigeração comercial. Tratar os dois como mesmo vetor seria erro analítico.
Claroty identificou 2.765 interfaces AK-SM 800A expostas diretamente à internet via Censys antes do ataque. Mesmo que nem todas rodassem firmware vulnerável, a superfície de ataque era conhecida publicamente há mais de 18 meses antes do incidente.
Nenhum grupo reivindicou o ataque e nenhuma demanda de resgate foi reportada até o momento. O padrão — destruição física sem extorsão imediata visível — é consistente com motivação de sabotagem (hacktivismo, operação de influência ou teste de capacidade) mais do que com ransomware convencional. Esta inferência é de confiança baixa: ausência de reivindicação não exclui motivação financeira por outros canais.
As autoridades francesas (Parquet de Paris / seção anticibercrime, OFAC) abriram inquérito de ofício no mesmo dia. O Premier-ministre acionou a ANSSI pessoalmente. A escala da resposta institucional confirma que o Estado trata o caso como incidente de infraestrutura crítica, não como crime cibernético ordinário.
Análisis
Este incidente não é um vazamento de dados: não há registro confirmado de exfiltração de informações pessoais. O ataque é de natureza ciberfísica — os atacantes manipularam equipamentos industriais conectados à internet para causar dano físico mensurável (destruição de alimentos, risco de incêndio, prejuízo econômico). Isso o coloca numa categoria raramente vista em escala comercial na Europa.
O ponto de convergência técnica são os controladores de supervisão frigorífica Danfoss, modelo AK-SM 800A, usados pelas quatro redes afetadas (Intermarché/Netto, Coopérative U, E.Leclerc, Monoprix). A Danfoss declarou que os aparelhos visados são 'obsoletos'. A ANSSI confirmou ao entourage do Premier-ministre ter 'identificado uma vulnerabilidade em software fornecido por empresa dinamarquesa'. Nenhuma das duas fontes primárias — varejistas ou autoridades — nomeou o CVE específico explorado até o fechamento deste relatório.
O candidato técnico mais plausível são as vulnerabilidades da família CVE-2025-41450/41451/41452 no AK-SM 800A, disclosadas pela Claroty Team82 e pela CISA em maio de 2025 e apresentadas na DEF CON 34 em agosto de
2026. A CVE-2025-41450 (CVSS 8.2) permite bypass de autenticação; a CVE-2025-41451 introduz injeção de comandos OS pós-autenticação com RCE. Combinadas, permitem controle total do sistema sem credenciais válidas. O fabricante lançou correção (firmware R4.3.1), mas a adoção foi limitada na França: relatos de campo indicam que lojas afetadas rodavam versões anteriores à R4.0. Atenção: a associação direta entre esses CVEs e o ataque de 12 de outubro ainda não foi estabelecida por nenhuma fonte oficial. Não há prova técnica pública do vetor exato.
Importante distinguir o CVE-2026-15203 (publicado em agosto de 2026, CVSS 9.3), que afeta a linha Danfoss iC7 — usada em automação industrial e marítima, não em refrigeração comercial de supermercados. Parte da cobertura especializada misturou os dois produtos; o erro não é trivial e pode distorcer a avaliação de risco para operadores que usam exclusivamente AK-SM 800A.
A escala: ao menos 300 lojas Intermarché/Netto, menos de 100 da rede Coopérative U, 'vários' do agrupamento E.Leclerc e cerca de 30 Monoprix foram confirmados pelas próprias redes à AFP. Carrefour Market e outras redes aparecem em relatos de funcionários e veículo especializado, sem confirmação corporativa. A estimativa total gira entre 430 e 500+ pontos de venda, mas o número oficial não foi consolidado. Perdas financeiras são estimadas em vários milhões de euros pelo conjunto das redes; um único supermercado Intermarché em Haguenau relatou 50.000 euros de prejuízo isoladamente.
Nenhum grupo reivindicou o ataque. Não há pedido de resgate reportado. O padrão é consistente com sabotagem — motivação que pode ser econômica (seguro, pressão sobre fornecedor), hacktivista ou estatal. O contexto geopolítico não pode ser ignorado: o Premier Macron decretou medidas de proteção contra 'ataques híbridos russos' meses antes. Isso não implica atribuição — e qualquer ligação com ator estatal permanece especulação sem base pública disponível. Registra-se o contexto, não a conclusão.
Cronología
- 01 may 2025CISA emite alerta sobre vulnerabilidade de autenticação no Danfoss AK-SM 800A (CVE-2025-41450, CVSS 8.2) afetando versões anteriores à R4.2. Danfoss disponibiliza correção.
- 09 ago 2026Claroty Team82 publica análise aprofundada do AK-SM 800A, documentando mecanismo de autenticação contornável ('código do dia') e possibilidade de execução remota de comandos. Censys aponta 2.765 interfaces expostas na internet.
- 26 ago 2026CVE-2026-15203 publicado (Danfoss iC7-Automation SP / iC7-Marine / iC7-Hybrid, CVSS 9.3) — vulnerabilidade distinta, em linha de produto diferente do AK-SM 800A.
- 18 sep 2026Danfoss publica aviso de segurança formal DSA-2026-08-01 referente ao CVE-2026-15203 para a linha iC7.
- 11 oct 2026Madrugada: atacantes comprometem controladores Danfoss AK-SM 800A em centenas de supermercados franceses. Ciclos de degelo são ativados remotamente; temperaturas sobem a 50°C.
- 12 oct 2026Intermarché e Coopérative U confirmam o ataque à AFP. Dominique Schelcher (CEO Coopérative U) publica confirmação no X. E.Leclerc confirma impacto via fornecedor frigorífico. Parquet de Paris abre inquérito de ofício e confia investigação ao OFAC. Premier-ministre Lecornu aciona a ANSSI pessoalmente.
- 12 oct 2026ANSSI confirma ter identificado vulnerabilidade em software de empresa dinamarquesa e entrado em contato com o fabricante; começa a mapear outras empresas francesas potencialmente afetadas.
Impacto
Impacto imediato confirmado: destruição total de estoques frescos e congelados em centenas de pontos de venda em território francês — leites, carnes, laticínios, produtos ultracongelados. Ao menos uma loja reportou 50.000 euros de perda individual; estimativas do setor colocam o dano total em vários milhões de euros. Paris prosecutors confirmaram que o ataque também gerou 'incêndios' em alguns pontos (superaquecimento de compressores). Não há relato de vítimas humanas. Não há dados pessoais de consumidores confirmados como vazados ou comprometidos. O impacto de segurança alimentar foi reconhecido publicamente pelo comissário de agricultura da UE, Christophe Hansen. A ANSSI abriu processo de identificação ativa de outras empresas francesas com sistemas Danfoss expostos para prevenir expansão do ataque.
Enlaces técnicos
Recomendaciones
- Operadores de supermercados e armazéns frigoríficos com controladores Danfoss AK-SM 800A devem verificar imediatamente a versão de firmware instalada e aplicar a atualização para R4.3.1 ou superior, conforme orientação da Danfoss e da CISA (ICSA-25-140-03).
- Auditar se interfaces de gerenciamento dos controladores AK-SM 800A estão acessíveis diretamente pela internet (verificar via Shodan/Censys com o fingerprint do produto). Caso positivo, remover o acesso público imediatamente e implementar acesso via VPN com MFA.
- Implementar monitoramento de anomalias nos sistemas BMS/SCADA de refrigeração: alertas para mudanças de setpoint fora de janelas operacionais normais, ativação de ciclos de degelo fora do horário programado e alterações de configuração sem autenticação de dois fatores devem disparar resposta imediata.
- Redes com múltiplos fornecedores de equipamentos de refrigeração conectados devem mapear o inventário de todos os controladores ICS/OT em loja com acesso remoto habilitado e aplicar segmentação de rede (VLAN dedicada sem rota direta para internet) antes de qualquer outra medida.
- Empresas que ainda operam hardware AK-SM 800 (geração anterior, declarada end-of-life em maio de 2021 pela Danfoss) devem priorizar substituição — não apenas atualização de firmware — pois esse equipamento não recebe mais correções de segurança.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
O CVE ou cadeia de vulnerabilidades exata explorada não foi divulgado — a ANSSI ou o OFAC precisam publicar relatório técnico preliminar para fechar esta lacuna.
O vetor de acesso inicial (internet direta, VPN comprometida, supply chain do fornecedor de manutenção remota) não foi confirmado por nenhuma fonte oficial — logs dos controladores e análise forense da Danfoss ou dos varejistas resolveriam.
O número total de lojas afetadas não foi consolidado oficialmente — um comunicado conjunto das redes ou um boletim do Parquet de Paris com o resultado do censo de vítimas do OFAC resolveria.
Nenhum ator foi identificado ou reivindicou o ataque — a continuidade da investigação do OFAC e eventual cooperação com Europol/CISA é o caminho; sem isso, a atribuição permanecerá aberta.
Não está claro se houve acesso via internet pública a controladores ou via rede interna comprometida — Shodan/Censys mostravam 2.765 interfaces Danfoss AK-SM 800A expostas, mas não confirmam que as lojas francesas estavam entre elas.
A posição da Danfoss sobre responsabilidade e sobre a adoção do patch R4.3.1 pelos varejistas afetados não foi declarada publicamente — uma declaração formal do fabricante ou do regulador dinamarquês de cibersegurança (CFCS) esclareceria o ciclo de atualização recomendado vs. implementado.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.