Hackers degelam centenas de supermercados franceses via falha Danfoss
Supermercados franceses (Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc, Super U)
alegado em · apurado em
Na madrugada de 11 para 12 de outubro de 2026, atacantes desconhecidos exploraram controladores de refrigeração Danfoss expostos à internet em 250 a 550 lojas de ao menos seis grandes redes de supermercados francesas, forçando o ciclo de degelo e elevando temperaturas a até 50 °C — causando incêndios, descarte massivo de alimentos e perdas estimadas em dezenas de milhões de euros. O vetor é OT/ICS com vulnerabilidades públicas conhecidas desde maio de 2025; nenhum grupo reivindicou autoria e a ANSSI e o Parquet de Paris investigam.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O ataque é real e confirmado por múltiplas vítimas, pelo Parquet de Paris, pela ANSSI e pela própria Danfoss — não há espaço para duvidar da ocorrência do incidente.
O vetor de acesso mais provável são as interfaces web dos controladores Danfoss AK-SM 800A/AK-SC355 expostas diretamente à internet, aproveitando CVEs conhecidos (CVE-2025-41450, CVE-2025-41451 e possivelmente CVE-2026-15203); a ANSSI identificou vulnerabilidade em software Danfoss antes mesmo do fim do dia do ataque. Não há, porém, confirmação oficial de qual CVE específico foi explorado neste incidente.
O ataque aos supermercados franceses faz parte de um padrão iniciado em agosto de 2026 com os comissários militares dos EUA — ambos os episódios envolvem controladores Danfoss em modo degelo forçado. A ligação técnica é circunstancial até confirmação oficial, mas a semelhança operacional é alta.
As perdas financeiras estimadas em 'dezenas de milhões de euros' partem da declaração pública do CEO da Intermarché (Thierry Cotillard, BFM TV) e de fonte próxima ao caso citada pela France Inter; trata-se de estimativa inicial, não auditada, e o número real pode divergir significativamente.
A extensão geográfica além da França — com Espanha, Portugal, Polônia, Alemanha e Bélgica citados pelo analista Felix Aime (Sekoia) — ainda não foi confirmada por comunicados oficiais de vítimas nesses países; deve ser tratada como alegação a verificar.
A ausência de reivindicação e a natureza destrutiva (sem exfiltração de dados aparente) podem indicar motivação disruptiva ou hacktivismo, mas também são compatíveis com um ator criminal testando capacidades ou buscando extorsão posterior. Qualquer atribuição seria especulação sem base evidencial hoje.
Análise
Este incidente é um ataque OT/ICS de destruição física — não um vazamento de dados. O objetivo dos atacantes não era exfiltrar informações, mas causar dano operacional e econômico direto através do controle remoto de infraestrutura crítica de cadeia de frio. Isso muda o ângulo de análise: as perguntas centrais são sobre controle de acesso a sistemas industriais, responsabilidade pelo patch e governança de OT conectado à internet — não sobre registros expostos.
O vetor técnico aponta para os controladores Danfoss AK-SM 800A e AK-SC355, amplamente implantados em supermercados europeus para gerenciar centralmente refrigeradores, câmaras frias e freezers via interface web acessível remotamente. A Claroty Team82 demonstrou publicamente em agosto de 2026, na DEF CON, que esses sistemas são vulneráveis a bypass de autenticação por mecanismo 'code-of-the-day' (CVE-2025-41450) e a injeção de comandos com RCE (CVE-2025-41451). Em setembro, a própria Danfoss divulgou CVE-2026-15203 com CVSS 9.3. No dia do ataque, 1.590 interfaces de controle Danfoss estavam expostas diretamente à internet na França, segundo levantamento Censys citado por Baptiste Robert (Predicta Lab). O patch que endereçava os CVEs de agosto de 2025 estava disponível há mais de um ano — e os equipamentos afetados não o tinham aplicado.
A Danfoss confirmou que a maioria dos equipamentos atingidos eram produtos 'legacy' sem mais suporte a atualizações de segurança, e disse que 'há muito recomenda a seus clientes manter sistemas suportados atualizados e migrar sistemas legados para soluções de geração atual'. Essa declaração é ao mesmo tempo uma admissão técnica e uma transferência de responsabilidade para os operadores. A Fédération du Commerce et de la Distribution (FCD) respondeu exigindo 'total transparência' da Danfoss. A tensão entre fabricante e clientes sobre quem devia garantir a atualização ainda não foi resolvida.
A ANSSI foi acionada pelo PM Lecornu no próprio dia do ataque e confirmou que já havia 'identificado uma vulnerabilidade em software fornecido por uma empresa dinamarquesa e contactado o editor'. A agência também declarou estar 'mobilizada tanto no nível francês para acompanhar as potenciais vítimas quanto no nível europeu para se coordenar com seus homólogos'. O Parquet de Paris abriu inquérito sob a seção anticibercriminalidade, confiado ao OFAC (Office Anti-Cybercriminalité). Não há, até o momento, nenhum comunicado oficial de autoria ou pista pública sobre o ator.
Um precedente relevante é o episódio de agosto de 2026 nos comissários militares dos EUA: ao menos 12 instalações em 9 estados relataram falhas simultâneas de refrigeração — freezers entrando em modo degelo com energia intacta — logo após a publicação da pesquisa da Claroty. Três agências federais abriram investigação. O DoD não confirmou causa cibernética, e pesquisadores notaram que não havia evidência pública de que as instalações afetadas compartilhavam o mesmo fornecedor ou firmware. A fonte radar.offseq.com afirma que 'a mesma vulnerabilidade foi explorada' no episódio dos EUA e no francês, mas essa afirmação não encontra respaldo em comunicado oficial de nenhuma das duas investigações — deve ser tratada como alegação com confiança baixa. A semelhança operacional, porém, é real e investigadores devem apurar o vínculo.
O impacto geográfico além da França — com Espanha, Portugal, Polônia, Alemanha e Bélgica citados pelo analista Felix Aime da Sekoia — permanece não confirmado por comunicados de vítimas nesses países. A coordenação europeia da ANSSI sugere que a hipótese é levada a sério, mas não é fato estabelecido. O número total de lojas afetadas também varia conforme a fonte: as próprias redes confirmaram cifras parciais (Intermarché: 150-300 lojas dependendo da fonte; Carrefour: 80; Monoprix: ~30; Coopérative U: menos de 100; Leclerc: 'várias'). A soma não converge para um total único auditável.
Cronologia
- 01 mai 2025CISA emite alerta sobre CVE-2025-41450 (authentication bypass) nos controladores Danfoss AK-SM 8xxA, identificado pela Claroty Team82.
- 01 ago 2025CISA emite alerta sobre CVE-2025-41451 (command injection) nos mesmos controladores Danfoss AK-SM 8xxA.
- 09 ago 2026Claroty Team82 publica pesquisa detalhada sobre vulnerabilidades no Danfoss AK-SM 800A na DEF CON 34: bypass de autenticação por 'code-of-the-day', injeção de comandos e RCE. Censo Censys aponta 2.765 interfaces expostas à internet. Danfoss lança firmware R4.3.1.
- 26 ago 2026Congeladores em ao menos 12 comissários militares dos EUA (9 estados) entram em modo degelo simultâneo. Três agências federais (AFOSI, DCIS, Army CID Cyber) abrem investigação. Ligação com Danfoss não confirmada oficialmente.
- 18 set 2026Danfoss divulga CVE-2026-15203, vulnerabilidade crítica (CVSS 9.3) afetando sistemas de controle industrial da empresa.
- 11 out 2026Na madrugada de domingo para segunda-feira, atacantes remotos forçam ciclo de degelo em controladores Danfoss de centenas de supermercados franceses, elevando temperaturas a até 50 °C por cerca de seis horas.
- 12 out 2026Redes confirmam o incidente à AFP: Intermarché (ao menos 300 lojas), Coopérative U (menos de 100), E.Leclerc ('várias lojas'), Carrefour (80 lojas), Monoprix (cerca de 30 lojas). CEO da Coopérative U, Dominique Schelcher, confirma publicamente e classifica o ataque como 'inédito'. Parquet de Paris abre inquérito de ofício. PM Lecornu aciona a ANSSI pessoalmente. ANSSI identifica vulnerabilidade em software Danfoss e contata o fabricante. Danfoss confirma incidentes, menciona equipamentos 'legacy' sem atualizações. Pesquisador Baptiste Robert (Predicta Lab) encontra 2.752 sistemas Danfoss expostos, 1.590 deles na França.
Impacto
Centenas de lojas de ao menos seis redes varejistas francesas (Intermarché/Netto, Coopérative U/Super U, E.Leclerc, Carrefour Market, Monoprix) tiveram seus sistemas de refrigeração comprometidos durante a madrugada, com temperaturas atingindo 50 °C por cerca de seis horas. Todo o estoque de produtos frescos e congelados das lojas afetadas precisou ser descartado — carne, laticínios, sorvetes, vegetais. A Intermarché confirmou à AFP que as lojas deverão 'jogar fora todos os produtos' frescos e congelados. Incêndios foram relatados pelo Parquet de Paris como consequência direta. O CEO da Intermarché, Thierry Cotillard, estimou perdas 'provavelmente na casa das dezenas de milhões de euros'. Fontes próximas ao caso citaram à France Inter 'vários milhões de euros' em perdas totais — os dois números são estimativas não auditadas. O ataque não envolveu roubo de dados pessoais de consumidores; o dano é econômico, operacional e de segurança alimentar. Não há registro de vítimas humanas diretas além dos danos materiais.
Elos técnicos
Recomendações
- Operadores com controladores Danfoss AK-SM 800A/AK-SC355 devem verificar imediatamente a versão de firmware instalada e atualizar para R4.3.1 ou superior, que corrige CVE-2025-41450 e CVE-2025-41451. Equipamentos sem mais suporte de firmware devem ser isolados da rede até substituição.
- Remover qualquer interface web de controladores OT de refrigeração da exposição direta à internet. Acesso remoto legítimo deve ser feito exclusivamente via VPN com MFA, jamais por porta aberta ao público.
- Segmentar redes OT de refrigeração do restante da rede corporativa e da internet usando firewalls industriais (zona DMZ industrial). A conectividade remota de manutenção via prestadores (como Axima) deve passar por jump servers monitorados, não por acesso direto ao controlador.
- Auditar via Shodan, Censys ou BinaryEdge todos os ativos Danfoss expostos à internet em sua organização. Qualquer controlador indexável publicamente é superfície de ataque imediata.
- Revisar contratos com prestadores de manutenção de refrigeração para exigir gestão de patch e segurança de acesso remoto como obrigação contratual com SLA definido — a cadeia de terceiros (fabricante → instalador → operador) foi o elo vulnerável aqui.
- Implementar monitoramento de anomalias em sistemas OT de refrigeração: alertas para mudanças de set-point fora de horário comercial, ativação de ciclo de degelo fora do calendário programado e tentativas de autenticação em horários atípicos.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Qual CVE específico foi explorado no ataque de 12 de outubro — a confirmação virá da investigação técnica da ANSSI ou do Parquet de Paris/OFAC.
Se o mesmo ator ou técnica está por trás dos incidentes nos comissários militares dos EUA em agosto — exigiria coordenação entre ANSSI, FBI e os três órgãos investigadores americanos, com análise forense comparativa dos logs dos controladores.
Se outros países europeus (Espanha, Portugal, Polônia, Alemanha, Bélgica) foram de fato atingidos — depende de comunicados das autoridades nacionais de cibersegurança e das redes varejistas locais.
O total consolidado e auditado de lojas afetadas — as redes divulgaram números parciais e inconsistentes; o OFAC poderia publicar um recenseamento oficial de vítimas.
Como os atacantes obtiveram acesso inicial: se por exposição direta à internet, por comprometimento de prestador de manutenção (como a Axima, citada como intermediário) ou por outro vetor — análise forense dos logs de acesso dos controladores.
Se há motivação financeira, política ou de hacktivismo por trás do ataque — ausência total de reivindicação até agora; investigação de atribuição em aberto.
O volume financeiro real das perdas, auditado e não estimado — depende de apuração contábil das redes e de eventual processo judicial.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.