Um ciberataque que afetou os sistemas de refrigeração de centenas de supermercados em França voltou a demonstrar que uma intrusão informática pode ter consequências físicas. A ESET alerta para os riscos associados a equipamentos ligados à Internet, acessos remotos desprotegidos e sistemas que não recebem atualizações de segurança.

O incidente provocou problemas nos sistemas de frio de várias lojas, levando à perda de produtos frescos e congelados. Segundo a informação divulgada, os atacantes conseguiram interferir remotamente com equipamentos responsáveis pelo controlo da refrigeração.

O caso chama a atenção para a segurança da tecnologia operacional (OT, Operational Technology), utilizada para monitorizar e controlar equipamentos e processos físicos. Estes sistemas estão presentes em áreas como a refrigeração, climatização, produção industrial, gestão de edifícios e logística.

À medida que estes equipamentos são ligados às redes empresariais e permitem o acesso remoto, uma vulnerabilidade pode deixar de representar apenas um risco para os dados e passar a comprometer diretamente o funcionamento de uma empresa.

O CERT-FR, o centro francês de resposta a incidentes de cibersegurança, confirmou o comprometimento de vários controladores remotos utilizados em instalações de refrigeração. A entidade alertou ainda para os riscos de manter os painéis de gestão destes equipamentos diretamente acessíveis através da Internet.

Entre os equipamentos identificados encontram-se controladores das marcas Danfoss, Copeland e Dixell.

A gestão remota permite acompanhar o funcionamento dos sistemas e realizar operações de manutenção à distância. No entanto, quando os acessos não estão devidamente protegidos, os equipamentos utilizam versões desatualizadas ou as credenciais de técnicos e fornecedores não são controladas, essa conectividade pode tornar-se uma porta de entrada para os atacantes.

O problema não é apenas teórico. Em 2025, a Danfoss disponibilizou correções para vulnerabilidades nos controladores AK-SM8xxA que podiam permitir contornar mecanismos de autenticação, executar código remotamente ou provocar a indisponibilidade dos sistemas.

A situação demonstra a importância de acompanhar os avisos de segurança dos fabricantes e garantir que os equipamentos críticos recebem as atualizações necessárias.

A ESET considera que a proteção destes ambientes exige uma abordagem diferente da utilizada nos computadores e servidores convencionais. Muitos equipamentos industriais têm ciclos de vida prolongados e nem sempre podem ser atualizados sem afetar a operação.

Entre as principais medidas de segurança recomendadas estão:

• Inventariar os equipamentos críticos: identificar os sistemas OT, as versões de software utilizadas, os responsáveis pela sua gestão e as consequências de uma eventual indisponibilidade.
• Restringir os acessos remotos: evitar que os painéis de gestão estejam diretamente expostos à Internet. Quando o acesso remoto for necessário, deve ser protegido através de mecanismos como VPN, filtragem de endereços e autenticação reforçada, sempre que possível.
• Aplicar atualizações de segurança: acompanhar os avisos dos fabricantes e instalar as correções disponíveis. Nos equipamentos que não possam ser atualizados, devem ser aplicadas medidas compensatórias, como o isolamento da rede e a limitação dos acessos.
• Separar as redes informáticas das redes operacionais: a segmentação entre ambientes de IT e OT ajuda a limitar a propagação de um ataque e a reduzir o impacto de uma intrusão.
• Preparar planos de contingência: definir procedimentos alternativos, incluindo operações manuais quando viáveis, para manter os processos essenciais em funcionamento perante uma falha tecnológica.

Para a ESET, a cibersegurança destes sistemas deve ser encarada como uma questão de gestão do risco operacional, e não apenas como uma responsabilidade dos departamentos de informática.

O incidente ocorre numa altura em que a União Europeia está a reforçar as exigências de segurança para produtos digitais e organizações.

O Cyber Resilience Act (CRA) estabelece requisitos de cibersegurança para produtos com elementos digitais ao longo do seu ciclo de vida, incluindo obrigações relacionadas com a gestão de vulnerabilidades. O regulamento entrou em vigor em dezembro de 2024, sendo aplicado de forma faseada. As obrigações de comunicação de vulnerabilidades ativamente exploradas começaram a aplicar-se em setembro de 2026, enquanto as principais obrigações serão aplicáveis a partir de dezembro de 2027.

Por sua vez, a diretiva NIS2 reforça as exigências de gestão do risco, resposta a incidentes, segurança da cadeia de fornecimento e gestão de vulnerabilidades para as entidades abrangidas.

A principal conclusão é que a segurança digital está cada vez mais ligada à continuidade das operações. Uma vulnerabilidade num controlador de refrigeração pode resultar em perdas de produtos, interrupções de serviço e custos operacionais significativos.

Por isso, as empresas precisam de conhecer os equipamentos dos quais depende a sua atividade, controlar os acessos remotos e garantir que os sistemas críticos estão protegidos, mesmo quando as suas limitações técnicas dificultam a aplicação de atualizações.