Imagine a cena: segunda-feira pela manhã, funcionários chegando para abrir as portas de centenas de supermercados e, em vez do zumbido contínuo dos compressores, encontram o cheiro de alimentos estragados, o chão coberto de líquido e termômetros marcando 50 °C no interior das câmaras frias e das ilhas de congelados. Pequenos focos de incêndio são controlados nos motores superaquecidos.
Foram seis horas ininterruptas de um ataque executado durante a madrugada de 11 para 12 de outubro. Nenhum grupo reivindicou a autoria e nenhum pedido de resgate apareceu nas telas dos computadores. Foi sabotagem operacional pura e simples.
O ataque cibernético mirou especificamente os sistemas de controle de refrigeração. Os alvos foram as controladoras legadas da Danfoss (fabricante de de sistemas gerenciamento de refrigeração comercial), que receberam comandos remotos de degelo forçado. A ação atingiu cerca de 80 lojas do Carrefour, entre 150 e 300 unidades da rede Intermarché/Netto, mais de cem lojas da Coopérative U, além de unidades da E. Leclerc e da Monoprix. Espanha, Polônia, Alemanha e Bélgica registraram ocorrências semelhantes.
Enquanto a Procuradoria de Paris investiga o caso, classificado como ataque “em grande escala”, e líderes do varejo, como o CEO da Coopérative U, Dominique Schelcher, classificam o evento como “inaceitável” e “sem precedentes”, o prejuízo estimado em dezenas de milhões de euros conta uma história de negligência muito mais profunda.
O que estava exposto
Vale começar pelo óbvio, que raramente é dito em voz alta: o alvo não estava no data center. ERP, e-commerce e gateway de pagamentos seguiram funcionando. O que parou foram os controladores de refrigeração, aqueles painéis que administram geladeiras, freezers e câmaras frias de uma loja inteira. São equipamentos com duas características em comum: produtos legados, que já não recebem atualização de segurança, e projetados para serem acessados remotamente pela internet, porque é assim que as empresas terceirizadas de manutenção trabalham.
E aqui está o detalhe que transforma esse caso em material de estudo. Em julho de 2026, a equipe de pesquisa Team82 publicou uma análise detalhada da plataforma da Danfoss na qual identificou, entre outras falhas, um mecanismo de autenticação oculto, batizado pelos próprios pesquisadores de code-of-the-day, que permitia contornar completamente a autenticação normal do equipamento. Somava-se a isso uma vulnerabilidade de injeção de comandos com execução remota de código.
A linha do tempo
Diferente da maioria dos incidentes que povoam as manchetes, o mercado foi avisado com meses de antecedência.
2025: Vulnerabilidades críticas nesses controladores (CVE-2025-41450, CVSS 8.2) são divulgadas.
Julho de 2026: A pesquisa pública da Team82 expõe o bypass de autenticação, e no fim do mesmo mês, cerca de uma dúzia de supermercados que atendem bases militares dos EUA sofreram incidentes idênticos em seus sistemas de refrigeração.
Agosto de 2026: A Danfoss orienta a migração urgente para novos sistemas.
Setembro de 2026: Um novo aviso crítico (CVSS 9.3) é publicado.
Outubro de 2026: começa a exploração em massa na Europa.
Meses se passaram entre o aviso público detalhado e o ataque. Esse intervalo é o verdadeiro objeto deste artigo. O problema não foi a falta de patch, foi a ausência de processo capaz de transformar um aviso público em ação sobre ativos que, presumivelmente, ninguém na área de Segurança sabia que existiam.
O ponto cego: quem inventaria a geladeira?
O coração do problema reside em uma falha de governança clássica. O controlador de refrigeração que derreteu o estoque não consta no CMDB da empresa. Esse equipamento foi comprado pela área de Facilities, de Logística ou de Operações, não pela TI, e para a conveniência da manutenção terceirizada, foi conectado diretamente à internet ou deixado em uma VPN esquecida e mal configurada. Nada disso exigiu má-fé de ninguém; cada decisão, isoladamente, fazia sentido para quem a tomou.
Ainda circula em muitas organizações a hipótese de que redes operacionais são isoladas, de que o air-gap protege o mundo físico do resto. A realidade das operações modernas desmente isso diariamente, e o faz por um caminho banal: o supermercado não gerencia a própria geladeira, quem gerencia é a empresa terceirizada de manutenção, que precisa de acesso remoto para acompanhar temperaturas, ajustar setpoints e atender chamados sem deslocar um técnico até a loja. Esse acesso é legítimo, contratual e muitas vezes essencial. É também o elo que liga a câmara fria à internet pública e transforma o prestador de serviço no cavalo de troia da história, não por má intenção dele, mas porque o modelo de acesso foi desenhado para funcionar, não para ser vigiado.
A tão falada “convergência IT/OT” muitas vezes se resume a uma porta aberta na rede corporativa que ninguém monitora. Faça a si mesmo a pergunta: hoje, na sua infraestrutura, quantas “geladeiras” existem? Quantos ativos críticos e operacionais estão conectados à sua rede sem que a equipe de Segurança da Informação saiba da existência deles?
Target 2014 → França 2026: a lição não aprendida em 12 anos
Foi exatamente o mesmo elo de terceiros que derrubou a Target via sistema de ar-condicionado (HVAC). Em 2014, o varejo americano sofreu um de seus maiores abalos quando a rede Target teve 40 milhões de cartões de crédito roubados. O vetor inicial? Credenciais roubadas da Fazio Mechanical, a empresa terceirizada que cuidava do ar-condicionado (HVAC) das lojas.
O setor passou os últimos 12 anos falando exaustivamente sobre Third-Party Risk. No entanto, o acesso de manutenção remota continua sendo o elo mais fraco e negligenciado da cadeia. Mudou-se o alvo (dos dados do cliente para a infraestrutura física), aumentou-se a escala, mas a porta de entrada continua a mesma.
E no Brasil?
Seria um erro tratar isso como “exclusividade francesa”. O varejo brasileiro vive sua própria corrida à automação: sensores de temperatura, câmeras inteligentes, etiquetas eletrônicas de preço, caixas de autoatendimento, sistemas de gestão de energia e, sim, refrigeração conectada. Grande parte dessa tecnologia entra pelas portas da operação e das facilities, comprada por quem cuida da loja, não por quem cuida da segurança, e raramente passa pelo crivo da equipe de Segurança da Informação.
As mesmas controladoras Danfoss e suas equivalentes de outras marcas operam em centenas de indústrias, redes de farmácias, frigoríficos e supermercados no Brasil. A interface de manutenção exposta é um vetor agnóstico de setor.
As objeções que precisam ser enfrentadas
“Patch em OT é fácil de falar, difícil de fazer”: é uma verdade inegável. Supermercados e indústrias operam 24/7, sistemas legados geralmente têm tolerância zero a downtime e atualizações frequentemente quebram certificações. Mas é exatamente por isso que a gestão contínua de exposição, a microsegmentação de redes e a monitoração comportamental existem: para atuar como controles compensatórios rigorosos quando o patch não é uma opção viável.
“A responsabilidade é do fabricante”: parcialmente verdade. Manter produtos End-of-Life operando sem atualizações é um risco que a indústria está sendo cobrada para mitigar (a federação do varejo francês cobrou publicamente “total transparência” da Danfoss sobre o incidente). Mas o regulador e o acionista não vão dividir a culpa. Quem manteve o equipamento legado exposto foi o operador.
“Isso não afeta o meu setor”: A cadeia de suprimentos de tecnologia é global, e a exposição acompanha essa cadeia.
O que separa incidente de manchete
A diferença entre um dia normal de vendas e um desastre de milhões de euros pode estar em um equipamento que o time de segurança jamais inventariou, acessível por um fornecedor que ninguém mapeou. É necessário tratar o acesso da empresa de manutenção com o mesmo rigor de um acesso privilegiado de administração de banco de dados, governar ativamente o ciclo de vida de ativos EOL e, fundamentalmente, começar a monitorar o comportamento do processo físico, e não apenas o tráfego da rede.
O próximo ataque não vai precisar de um zero-day complexo. Vai precisar apenas de paciência, e de uma porta esquecida aberta.
Fechar essa porta exige mais do que adoção de ferramentas; exige a maturidade operacional de um Fusion SOC Agêntico, com abordagens avançadas de OT Security. A Scunna atua junto ao mercado com foco em eliminar as zonas cegas da infraestrutura, integrando a visibilidade contínua de ativos industriais e IoT, governança rigorosa sobre o acesso de terceiros e blindagem de sistemas legados. Acreditamos que a verdadeira convergência entre TI e OT só acontece quando a segurança protege o processo físico com a mesma eficiência com que protege os dados corporativos, garantindo que o coração da operação nunca pare de bater.
