Congeladores de supermercados por toda a Europa atingidos por segundo suspeito ciberataque
Uma vaga de ciberataques elevou remotamente os congeladores de supermercados por toda a Europa, de ultra-congelamento para mais de 50°C, forçando os retalhistas a deitar fora alimentos e expondo como muitos sistemas de refrigeração industrial estão diretamente acessíveis a partir da internet. Os comentaristas traçam o problema a controladores inseguros, muitas vezes sem atualização (nomeadamente unidades Danfoss), palavras-passe predefinidas e decisões motivadas por custos que permitem controlo remoto total em vez de monitorização apenas de leitura para segurança, conformidade e gestão de energia. O incidente é enquadrado tanto como negligência evitável como um aviso precoce para infraestruturas em rede muito mais críticas, com debate sobre se isto é guerra híbrida patrocinada por Estados, hackers aborrecidos com Shodan ou simplesmente o resultado inevitável de ligar aparelhos “estúpidos” à internet pública.
Âmbito, incidentes anteriores e impacto
- Atacantes elevaram remotamente as temperaturas de milhares de congeladores/frigoríficos de supermercados em vários países europeus, forçando o descarte de alimentos.
- Os comentaristas ligam isto a incidentes anteriores: supermercados franceses em outubro, comissariados militares dos EUA no início do ano, e agora Suécia, Finlândia, Bélgica, Países Baixos, Estónia e Irlanda.
- Alguns observam que patches e avisos estavam disponíveis há meses; muitos dos sistemas afetados aparentemente permaneceram sem atualização e online.
Por que é que os congeladores estão online?
- As razões citadas incluem:
- Registo regulamentar da “cadeia de frio” e prova para inspetores/seguradoras.
- Alertas remotos se as temperaturas saírem do normal, especialmente fora do horário comercial.
- Otimização centralizada para preços de energia e balanceamento de carga com HVAC/energia.
- Diagnóstico remoto, condições de garantia e eficiência operacional em larga escala.
- Vários argumentam que estas necessidades exigem monitorização mas não controlo remoto da temperatura/descongelação.
Falhas de segurança e culpa
- Temas recorrentes: dispositivos diretamente expostos à internet pública, palavras-passe predefinidas ou previsíveis (incluindo “password of the day” baseada na data) e má segmentação (sem VPN/VLAN/DMZ).
- O fornecedor dinamarquês Danfoss e plataformas de controladores relacionadas são mencionados repetidamente; links de avisos indicam falhas conhecidas e atualizações recomendadas há muito tempo.
- Alguns veem os supermercados e os fornecedores como gravemente negligentes, especialmente após o ataque francês; outros sublinham restrições do mundo real: hardware antigo, margens apertadas, lojas franchisadas, fraca especialização interna em cibersegurança.
- Debate sobre multas e responsabilidade: as cadeias são “vítimas” ou corresponsáveis por ignorarem os avisos?
Mitigações propostas
- Manter os sistemas fora da internet pública; usar apenas LAN, VPNs, firewalls rigorosas ou servidores locais isolados.
- Usar telemetria unidirecional: monitorização apenas de leitura, sem caminho de escrita/controlo remoto.
- Conceção mais robusta: interruptores físicos para descongelação, limites que impeçam temperaturas inseguras, hardware separado para monitorização vs. controlo, alarmes quando o alarme é desativado.
- Resposta a incidentes a curto prazo: desligar unidades vulneráveis, verificações manuais de temperatura/ciclos de descongelação, redesenho posterior.
Motivos e implicações mais amplas
- A especulação vai desde “guerra híbrida” de Estados-nação (muitas vezes é mencionada a Rússia) até crianças aborrecidas, ativistas ou mesmo chamadas de atenção ao estilo “whitehat”; não há consenso nem evidências no debate.
- Muitos veem isto como um exemplo clássico de insegurança IoT/SCADA e um aviso para sistemas muito mais críticos (hospitais, água, energia, transportes).
- Alguns preveem custos crescentes de cibersegurança, pressão de seguros e possível regulamentação como corretivos necessários.