Controladores Danfoss legados abrem freezers franceses a atacantes

O incidente representa o primeiro caso documentado e confirmado de sabotagem cibernética de infraestrutura OT em larga escala no setor varejista europeu, com consequências físicas diretas — incêndios e destruição massiva de alimentos. A distinção com incidentes de ransomware é relevante: não houve demanda de resgate, não houve exfiltração de dados relatada e nenhum grupo reivindicou autoria. O objetivo aparente foi exclusivamente causar dano físico e econômico, o que o comissário europeu de Agricultura Christophe Hansen sintetizou como 'a weaponization of food'.

A vítima não é uma única organização: são pelo menos seis redes varejistas independentes (Intermarché/Netto, Coopérative U, Carrefour, Monoprix, E.Leclerc e Auchan), o que exclui a hipótese de um único ponto de falha interno a uma empresa. O denominador comum é o hardware de refrigeração: controladores Danfoss das séries AK-SM 800 e AK-SC 355, ambos fora de suporte (end-of-life em 2021 e 2016, respectivamente), além de unidades AK-SM 800A em firmware desatualizado. CERT-FR e Danfoss convergem sobre a identificação do equipamento, mas divergem em nuance: Danfoss enquadra o problema como 'hardware legado sem suporte que o cliente deveria ter substituído'; CERT-FR enquadra como 'exposição de interface de gestão à internet contrária às boas práticas', sem nomear o culpado.

O vetor de acesso inicial permanece não estabelecido oficialmente. Três hipóteses circulam no ecossistema técnico: (a) exploração das CVEs publicadas — CVE-2025-41450 (bypass de autenticação por senha baseada na data atual) e CVE-2025-41451 (injeção de comando) — mas essas afetam formalmente o modelo AK-SM 800A, não os legados predominantes; (b) uso de credenciais padrão ou fracas, reforçado pelo achado de Kevin Beaumont de que os dispositivos usavam a data como senha; (c) acesso via provedor de manutenção remota (3G/internet), pois as redes de refrigeração são frequentemente geridas por terceiros. A Le Monde reportou que os atacantes estenderam os ciclos de degelo de uma hora para oito horas, atrasando alertas — o que implica conhecimento operacional sobre o funcionamento dos sistemas, não apenas acesso bruto.

A escala europeia reportada pela Sekoia (Espanha, Portugal, Polônia, Alemanha, Bélgica) e confirmada pela ANSSI em coordenação com parceiros é dado crítico ainda subevidenciado: se confirmado, indica que os atacantes mapearam e comprometeram dispositivos Danfoss em múltiplos países antes de acionar o ataque em janela coordenada. SOCRadar identificou 2.898 interfaces StoreView Danfoss indexadas no Shodan só na França em 13/10, representando cerca de 65% do total global — número que evidencia a dimensão da superfície de ataque.

A narrativa do 'incêndio causado por hacker' merece escrutínio. A Procuradoria de Paris confirmou que a investigação examina 'a relação entre o ciberataque, os incêndios reportados e as perdas de alimentos' — linguagem que indica que a causalidade entre o superaquecimento dos compressores e os focos de fogo ainda está sendo estabelecida forensicamente, não que seja fato concluído. Nenhuma vítima humana foi reportada. A exatidão do número de 50 °C também não foi corroborada por dados de telemetria publicados: os valores vêm de declarações das próprias redes.

O registro interno que atribuía o país como 'BR' estava incorreto e foi corrigido: o incidente ocorreu na França (FR). O setor 'varejo alimentar' substitui o campo vazio anterior. Confidence foi atualizado de 'claimed' para 'confirmed' dado que múltiplas vítimas, a Procuradoria de Paris e o CERT-FR (fonte A) confirmaram o incidente. Verdict foi atualizado de 'unverified' para 'real': trata-se de sabotagem OT confirmada, sem componente de vazamento de dados.

Pelo menos 530 pontos de venda afetados com quantificação parcial: Intermarché/Netto relatou entre 150 e 300 lojas (estimativas divergem por fonte e momento da declaração); Coopérative U, mais de 100; Carrefour, 80; Monoprix, cerca de 5% de suas 490 lojas; E.Leclerc e Auchan, número não divulgado. Todo o estoque refrigerado e congelado das unidades atingidas foi descartado por risco sanitário. Thierry Cotillard, CEO da Intermarché, estimou perdas de dezenas de milhões de euros em um único dia apenas para sua rede; dois pontos de venda na Alsácia reportaram €270.000 combinados. Focos de incêndio foram confirmados em algumas lojas, com investigação forense sobre a relação causal. Impacto estendeu-se a pelo menos cinco países europeus adicionais segundo Sekoia, embora sem quantificação oficial. Nenhuma vítima humana foi reportada.