Os frigoríficos dos supermercados na França ficaram vulneráveis online por meses
Controladores de refrigeração conectados à internet usados por supermercados franceses ficaram expostos online por anos, muitos executando firmware sem suporte com um backdoor “código do dia” embutido, permitindo que atacantes acionassem remotamente ciclos de descongelamento e estragassem alimentos. Comentadores debatem onde a responsabilidade recai entre fornecedores, integradores e operadores de lojas, e se tais sistemas críticos deveriam alguma vez ser diretamente acessíveis a partir da internet pública. O tema mais amplo é como a infraestrutura industrial e de varejo legada está sendo conectada para monitoramento remoto e otimização de energia sem segurança adequada, levantando pedidos por VPNs, telemetria somente leitura, maior vida útil de suporte e responsabilidade mais rígida.
Responsabilidade e Negligência
- Muitos veem colocar controladores de frigoríficos diretamente na internet pública como gravemente negligente, especialmente porque desligá-los sempre foi possível e só foi amplamente feito depois do incidente.
- Debate sobre a culpa: fornecedores (por firmware ruim e backdoors), instaladores (por expor dispositivos) e supermercadistas (por segurança frouxa e não aplicar correções) são todos criticados.
- Outros argumentam que o mundo da refrigeração/varejo está muito atrás do TI em geral e não modelou seriamente “quem iria hackear um termostato”, mas os críticos respondem que “todo mundo na internet” agora é um conjunto realista de atacantes.
Por que os Frigoríficos Estão em Rede
- Benefícios alegados: monitoramento centralizado de temperatura, detecção precoce de falhas, registro automatizado para auditorias de segurança alimentar, otimização de energia (por exemplo, ciclos de descongelamento, resposta a preços de pico) e diagnósticos remotos em muitas lojas.
- Os céticos dizem que a maior parte disso exige apenas monitoramento somente leitura, automação local ou acesso à LAN, não exposição à internet pública nem acesso remoto de escrita.
Debates sobre Arquitetura de Segurança
- Forte apoio a VPNs, redes privadas, whitelisting de IP e “defesa em profundidade” em vez de exposição direta à internet.
- Contraponto: se a criptografia/autenticação na camada de aplicação for robusta, uma VPN pode ser redundante; os problemas são de implementações ruins, não de redes em si.
- Alguns propõem links do tipo unidirecional/data diode apenas para monitoramento, com presença física ou botões locais de “autorizar” exigidos para controle.
Detalhes da Vulnerabilidade
- O firmware usava uma senha de backdoor “código do dia” derivada da data atual, descrita como uma forma de bypass de login ao estilo dos anos 1990.
- A função é trivial de reverter; comentaristas observam que você pode reconstruir a lógica da senha ou até pedir a um LLM para explicá-la.
- Esse problema foi pesquisado e divulgado publicamente bem antes dos ataques, mas os patches foram aplicados de forma desigual e muitas unidades executavam software sem suporte.
Ciclo de Vida, Suporte e Regulação
- Muitos controladores têm décadas de idade; alguns argumentam que “não dá para suportá-los razoavelmente” por tanto tempo.
- Outros dizem que, enquanto o hardware estiver em uso, os fornecedores deveriam fornecer correções de segurança ou upgrades modulares, ou pelo menos não deveriam colocá-lo online.
- Regras ao estilo da UE que exigem períodos mínimos de suporte declarados são citadas positivamente; a pressão do seguro é sugerida como outro motor.
IA, Automação e Contexto Mais Amplo
- Alguns veem a IA como reduzindo drasticamente o custo de varrer e explorar esses sistemas e preveem enxames de bots de ataque autônomos.
- Outros dizem que worms e scanners automatizados já existem há décadas; o incidente dos frigoríficos parece pura negligência antiga, não IA.
- Paralelos são traçados com outros setores fortemente dependentes de legado (companhias aéreas, serviços públicos, hospitais), com preocupação de que sistemas de controle similares, inseguros e expostos à internet, sejam amplamente disseminados.