Ciberataque à cadeia de frio de supermercados franceses causa descarte em massa; Danfoss sabia da vulnerabilidade e não exigiu atualização

Hackers comprometeram o software de controle remoto de temperatura fornecido pela gigante industrial dinamarquesa Danfoss, forçando centenas de supermercados franceses a terem seus equipamentos de refrigeração e congelamento aquecidos de forma anormal até 50 graus Celsius durante a noite, com destruição em massa de alimentos frescos e congelados. As perdas econômicas são estimadas em milhões de euros. Por trás do incidente está o cenário real de um fornecedor que controla o coração da cadeia de frio europeia e que, durante muito tempo, apenas "recomendou atualizações", permitindo que sistemas antigos com vulnerabilidades conhecidas continuassem gerenciando as temperaturas dos alimentos.

Segundo reportagem da BBC (British Broadcasting Corporation), o ciberataque contra a cadeia de frio do varejo francês ocorreu na madrugada de segunda-feira. O presidente-executivo da Coopérative U, Dominique Schelcher, qualificou o ataque como "extremamente grave e sem precedentes". A rede teve mais de 100 lojas afetadas; a Intermarché e sua marca Netto tiveram 180 lojas invadidas no total; para evitar a propagação, o grupo Mousquetaires cortou emergencialmente a conexão de rede de outras cerca de 100 lojas. A Carrefour confirmou que 80 de suas 6 mil lojas em toda a França foram afetadas; a Monoprix relatou que cerca de 5% de suas mais de 400 lojas foram atingidas, e a E.Leclerc também não foi poupada.

Dos cerca de 15 mil supermercados existentes em toda a França, cerca de 400 lojas foram afetadas. Duas lojas na região da Alsácia já reportaram perdas combinadas de 270 mil euros, com o número real em todo o país sendo "da ordem de milhões", segundo a BBC. O Ministério Público de Paris abriu uma investigação específica sobre cybercrime.

O detalhe mais carregado de implicações de responsabilização vem do próprio comunicado da Danfoss. Segundo a BBC, a Danfoss admitiu que todos os refrigeradores afetados são modelos antigos, cujo software de segurança "não pode ser atualizado" para eliminar os riscos previamente identificados pela empresa, e afirmou que "há muito tempo recomenda" aos clientes a atualização para sistemas com suporte.

Em outras palavras, este fornecedor central no setor de refrigeração comercial europeu já havia identificado vulnerabilidades de segurança em seus produtos antigos, mas permitiu que esses dispositivos, sem possibilidade de patches, continuassem gerenciando as temperaturas da cadeia alimentar crítica, até que os atacantes os transformassem em palco de descarte em massa de alimentos. A reportagem da BBC aponta que a Danfoss não confirmou a temperatura limite aquecida de fato pelos hackers, mas, segundo reportagem da Reuters, dados fornecidos pela Intermarché indicam que seus refrigeradores foram aquecidos até 50 graus Celsius por seis horas durante a noite. Imagens gravadas no local, divulgadas pela francesa BFMTV, mostram que o display do refrigerador de sorvetes de uma loja chegou a marcar 26,5 graus, e algumas lojas tiveram inclusive pequenos incêndios.

O modelo de gestão de cadeia de frio centralizado e remoto significa que uma única vulnerabilidade em software é suficiente para paralisar centenas de lojas simultaneamente. O atacante não precisa comprometer, uma a uma, as unidades de refrigeração física: basta tomar o centro de controle para fazer os nós críticos da cadeia alimentar nacional cederem em sincronia. Quando um fornecedor sabe há muito tempo da vulnerabilidade e oferece há muito tempo opções de atualização, mas ainda assim deixa sistemas sem possibilidade de patch operando em posições de infraestrutura alimentar crítica, as perdas causadas pelo ataque não são culpa apenas dos hackers — são também a conta de uma falha de governança corporativa.

O comissário europeu para Assuntos Alimentares, Christophe Hansen, condenou o ataque na rede social X e advertiu: "A segurança alimentar precisa receber mais atenção em todos os níveis, porque a weaponização dos alimentos já é uma realidade." Schelcher também pediu investigação completa, considerando "inaceitável" o ataque a equipamentos críticos do abastecimento alimentar francês.

O episódio ainda apresenta diversos pontos sem solução. Os autores do ataque ainda não foram identificados, e o Ministério Público francês apenas abriu a investigação, sem conclusões de atribuição; o total real de perdas em toda a França permanece incerto, com apenas duas lojas na Alsácia tendo divulgado perdas combinadas de 270 mil euros; os detalhes técnicos sobre como os hackers invadiram o sistema de software da Danfoss também não foram divulgados. Várias redes afetadas retiraram produtos suspeitos e reabasteceram emergencialmente os estoques; em algumas lojas, os refrigeradores e congeladores ainda estavam fora de operação ao meio-dia de segunda-feira.