Ataques a sistemas de refrigeração de supermercados na Europa

Briefing técnico-jurídico. Versão de 3 de novembro de 2026.

A notícia é verdadeira no essencial: houve, na madrugada de 1º para 2 de novembro de 2026, uma segunda onda de intrusões em controladores de refrigeração conectados à internet, com ativação remota do degelo, em supermercados de ao menos sete países europeus, depois de uma primeira onda na França em 11 e 12 de outubro.[1] O texto que circula, porém, amplia a escala, apresenta como temperatura atingida o que foi registrado como valor programado, mistura dados das duas ondas e usa números desatualizados.

TL;DR

1. O incidente existe e está confirmado com grau de confiança alto: AFP, Reuters, AP, The Record, BleepingComputer, RTÉ, ERR, NOS e Belga noticiaram a onda de 2 de novembro, e redes como Delhaize, Carrefour Bélgica, Colruyt (Spar), ICA, Coop Suécia, SuperValu (Musgrave) e Ikea confirmaram impactos; a declaração do Comissário Christophe Hansen é autêntica.
2. O texto circulante é uma compilação exagerada, e não uma fabricação: o “50°C” corresponde em regra ao valor programado nos controladores (as temperaturas efetivamente medidas na Bélgica ficaram por volta de 15°C a 18°C e, na Estônia, subiram 2 a 3 graus), os “milhões de euros” de prejuízo não foram quantificados para a segunda onda, os “mais de 400” supermercados franceses foram depois revistos para cerca de 700 e não há vínculo comprovado com as falhas em comissariados militares dos EUA.
3. O vetor é conhecido e de baixa sofisticação: controladores Danfoss AK-SM/AK-SC e Copeland/Dixell XWEB expostos na internet, muitos em fim de vida, com senhas padrão ou falhas de autenticação documentadas desde 2023; ninguém reivindicou os ataques e não há atribuição oficial, de modo que a hipótese hacktivista pró-Rússia é plausível pelo contexto, mas não está demonstrada.

1. Avaliação de confiabilidade

Veredito: notícia verdadeira quanto ao fato central, parcialmente exagerada quanto a escala, danos e temperaturas, e com elementos não confirmados. Grau de confiança no fato central: alto. Grau de confiança nas cifras do texto circulante: baixo a médio.

Não foi possível identificar o primeiro veículo a publicar o texto exatamente na forma reproduzida. Os elementos indicam um texto compilado a partir de despachos de agências e de reportagens de tecnologia publicadas em 2 de novembro (Tom’s Hardware, que citou Bloomberg e Belga; Reuters; AFP). Três marcas de compilação merecem registro. A primeira é a expressão “thousands of pounds”, em libras esterlinas, num texto que trata de prejuízos em euros e de países que não usam a libra, o que sugere colagem de trechos de origens distintas. A segunda é o adjetivo “superheated” e a imagem dos refrigeradores “agindo como fornos”, ausentes das fontes primárias. A terceira é a menção a “instalações institucionais”, que não aparece em nenhuma fonte localizada. Não há indício de sátira. Também não é possível afirmar que o texto foi gerado por IA; o padrão é compatível com agregadores que reescrevem despachos, com ou sem ferramentas automáticas, e essa hipótese deve permanecer em aberto.

A primeira onda foi revelada pela BFMTV e confirmada à AFP pelos próprios distribuidores franceses em 12 e 13 de outubro de 2026, segundo a franceinfo.[2] A segunda onda apareceu primeiro na imprensa belga: a agência Belga, reproduzida pelo L’Avenir às 9h52 de 2 de novembro, registrou que Delhaize confirmou “un incident informatique” em cerca de quarenta lojas e que Carrefour Bélgica reportou 15 lojas atingidas.[3]

2. Resumo executivo

Na noite de 11 para 12 de outubro de 2026, atacantes acessaram remotamente controladores de refrigeração de centenas de supermercados franceses e os colocaram em degelo forçado, com valores programados de até 50°C, segundo o presidente do grupo Les Mousquetaires, Thierry Cotillard.[4] As redes declararam ao menos 300 lojas Intermarché e Netto; na Coopérative U, foram 80 de 2.000 lojas, segundo o CEO Dominique Schelcher no X, citado pela AP em 13 de outubro (“It is unprecedented, extremely serious, and unacceptable”), enquanto a franceinfo falou em menos de cem; somaram-se 80 Carrefour, cerca de trinta Monoprix e várias E.Leclerc. Em 13 de outubro, o ministro francês da Economia e das Finanças, Roland Lescure, disse ao Parlamento que cerca de 700 dos 10.000 supermercados do país foram afetados, segundo a AP, e afirmou que o ataque “touches the heart of our food security” e foi “a wake-up call for everyone”; o parquet de Paris informou à The Record cerca de 700 vítimas. O CERT-FR, vinculado à ANSSI, publicou o alerta CERTFR-2026-ALE-012 em 12 de outubro, abrangendo controladores Danfoss das séries AK-SM e AK-SC e, a partir de 13 de outubro, Copeland xweb e Dixell xweb.[5] O parquet de Paris abriu investigação, conduzida pela seção anticibercriminalidade e confiada ao Office anticybercriminalité (OFAC).[4]

Três semanas depois, na madrugada de 2 de novembro, a mesma técnica atingiu lojas na Bélgica, Suécia, Irlanda, Estônia, Luxemburgo, Países Baixos e Finlândia, com relatos ainda não detalhados em Portugal.[6][7][8] A escala foi menor que a francesa: a The Record contou mais de 50 estabelecimentos na Bélgica e algumas dezenas nos demais países.[1] O Comissário europeu Christophe Hansen qualificou os incidentes como “a deliberate attempt to disrupt our food supply chain”.[8] Ninguém reivindicou nenhuma das ondas, e as autoridades belgas admitem que os autores talvez nunca sejam identificados.[1][9] A lição central para operadores é que o risco decorre de exposição direta de equipamentos de tecnologia operacional (OT) à internet, de equipamentos sem suporte e de contratos de manutenção que não atribuem responsabilidade pela segurança.

3. O que se sabe: cronologia, alcance, redes atingidas e danos

3.1 Cronologia

1. Agosto de 2026: falhas de refrigeração em ao menos seis comissariados (supermercados) de bases militares dos EUA, que depois passam a ser investigadas como possível ataque cibernético.[10]
2. 9 de agosto de 2026: a Claroty Team82 publica pesquisa sobre vulnerabilidades no Danfoss AK-SM 800A e contabiliza 2.765 dispositivos expostos na internet.[11]
3. 11 e 12 de outubro de 2026: primeira onda na França; alerta CERTFR-2026-ALE-012 em 12 de outubro, ampliado em 13 de outubro e com recomendações revistas em 16 de outubro.[5]
4. 12 de outubro de 2026: Ahold Delhaize anuncia, em incidente distinto, um problema de segurança em sua rede de TI; em 19 de outubro confirma “malicious actions of others” e registra boletim de ocorrência na polícia neerlandesa.[12][13]
5. 13 de outubro de 2026: a Danfoss recomenda a clientes neerlandeses desconectar os sistemas da internet, segundo seu porta-voz à NOS.[14]
6. 27 de outubro de 2026: a empresa Previdian relata tentativas de login num honeypot Danfoss com a senha padrão de supervisor “12345”, segundo a Security.NL.[14]
7. Final de outubro de 2026: o Pentágono confirma investigação conjunta liderada pelo Defense Criminal Investigative Service (DCIS).[10]
8. 1º e 2 de novembro de 2026: segunda onda; na Bélgica, a Sabcobel mobiliza técnicos a partir de 1h[1] e a Delhaize alerta gerentes por SMS por volta de 4h.[15]

3.2 Alcance geográfico e redes atingidas na segunda onda

Na Bélgica, um porta-voz da Delhaize declarou à The Register em 2 de novembro: “On Monday, 2 November, we identified an IT incident affecting the refrigeration systems in several dozen of our stores”, e a porta-voz Sarah De Meester disse que a empresa estava investigando (The Guardian, via Quartz); as lojas atingidas eram sobretudo Shop & Go em postos Q8, Proxy Delhaize e lojas de rodovia, segundo a RTL Info; o Carrefour Bélgica informou 15 de mais de 700 lojas, com impacto “extrêmement limité”, e seu porta-voz Mich Vergauwen afirmou: “It’s a cyberattack, there is no other reason”.[16][17][18][7] A Colruyt informou cerca de cinco lojas Spar operadas por franqueados, a Intermarché Bélgica falou em 10 a 15 casos[16] e a rede de açougues De Laet & Van Haver relatou parâmetros alterados de fora.[3][15] A Ikea Bélgica confirmou que sua loja de Mons foi atingida e explicou que era a única afetada por usar outro prestador de serviço.[18] A Sabcobel, instaladora que opera os sistemas da Delhaize, estimou cerca de 20 unidades afetadas entre as centenas que gerencia.[1][19] No Luxemburgo, a Delhaize relatou lojas afetadas, segundo a AP e a RTL Today citada pela RTBF.[7][20]

Na Suécia, a ICA confirmou “ett begränsat antal butiker” (um número limitado de lojas),[1] com caso relatado em Sjöbo, onde a ICA Kvantum escreveu no Facebook que a temperatura chegou a 50 graus.[21] A Coop Suécia falou inicialmente em seis lojas no centro do país e depois, à Reuters, em 7 de 800 lojas;[8][21] seu porta-voz Carlos Cancino disse à AFP que as lojas afetadas usavam conexão 4G, “more exposed”.[6] Na Irlanda, a Musgrave confirmou um “cyber incident” limitado “to a specific model of refrigeration” em 13 de suas 223 lojas SuperValu, com retirada preventiva de refrigerados e congelados e normalização no mesmo dia (RTÉ, Reuters).[22][23] Na Estônia, a ERR noticiou ataque a um supermercado Selver: segundo Jann Mutso, da Kitman Coldtech, os atacantes acessaram um sistema Danfoss antigo e programaram 50 graus, mas a temperatura subiu dois a três graus e foi normalizada em 10 a 15 minutos, sem dano a produtos.[1][24] Nos Países Baixos, a NOS reportou ao menos 17 empresas, sobretudo açougues e pequenos mercados, e um porta-voz da Danfoss declarou que os sistemas atacados usavam senha padrão e não estavam em rede protegida.[14] Na Finlândia, a Yle e a AFP registraram temperaturas irregulares em algumas lojas menores do grupo Kesko; Roni Kokkola, do NCSC-FI (Traficom), não descartou interferência cibernética, mas não a confirmou.[6][20]

3.3 Danos

Na França, os prejuízos foram relatados loja a loja: cerca de 60 mil euros numa loja de Étréchy, 270 mil euros em duas lojas de Haguenau e de 180 a 200 mil euros num hipermercado, segundo Dominique Schelcher; Thierry Cotillard falou em “plusieurs dizaines de millions d’euros” num único dia.[2][4] Na segunda onda, nenhuma autoridade ou empresa divulgou um valor agregado; os relatos disponíveis são pontuais, como a perda de “4000 €” atribuída a uma loja Delhaize pela DH.[25] A frase “millions of euros in damages” aplicada à segunda onda não tem respaldo em fonte identificada, e a Tom’s Hardware usou apenas a formulação especulativa “likely destroying millions of dollars worth of items”.[19]

4. Vetor técnico e plausibilidade

4.1 Equipamentos e vulnerabilidades

Os equipamentos atingidos são gerenciadores de sistema para refrigeração comercial, controladores centrais que supervisionam os reguladores de cada balcão, câmara fria e central de frio, e que permitem, por interface web, ajustar temperaturas, programar degelos e consultar alarmes. A Danfoss informou que a maioria dos equipamentos comprometidos na França eram AK-SM 800, declarado em fim de vida em maio de 2021, e AK-SC 355, retirado em 2016, além de AK-SM 800A com firmware desatualizado.[26] O CERT-FR incluiu os sistemas Copeland xweb e Dixell xweb após o comprometimento de um E.Leclerc no Tarn.[5][2]

As falhas são públicas há anos. A Synacktiv publicou em 2023 uma análise de vulnerabilidades do AK-SM 800A (entre elas travessia de caminho sem autenticação e execução remota de código autenticada, como root)[27], e o aviso Danfoss DSA-2023-08-01 tratou das CVE-2023-25913 a 25915, corrigidas na versão 3.3.[28] A CVE-2025-41450, bypass de autenticação por senha derivada de data e hora no AK-SM 8xxA, foi corrigida na versão 4.2 e objeto do aviso da CISA ICSA-25-140-03.[29][30] As CVE-2025-41451 e 41452 foram corrigidas na versão 4.3.1.[29] A Claroty Team82 publicou em 9 de agosto de 2026 a pesquisa “Freeze the Controller, Defrost the Food”.[11] Em outubro de 2025, a Danfoss já havia anunciado o fim estrito de serviço dos produtos legados e citado ataques de 2022 a 16 supermercados russos e a 40 lojas israelenses sem firewall nem VPN.[1][26]

Há um ponto que exige cautela. O CERT-FR não indicou CVE, versão de firmware nem indicadores de comprometimento no alerta, e a Claroty escreveu que não há detalhes sobre como os atacantes acessaram as lojas.[5][26] A afirmação, publicada pela Security.NL, de que a CVE-2025-41450 (senha derivada de data e hora) foi usada contra supermercados franceses é de fonte única e não está confirmada pela investigação.[31] Para a segunda onda, a versão mais consistente é a do porta-voz da Danfoss à NOS: senha padrão e ausência de rede protegida.[14]

4.2 Exposição

As contagens de interfaces expostas variam conforme o método: 2.765 AK-SM 800A pela Claroty (Censys, agosto de 2026);[11] e, no levantamento da Forescout Vedere Labs (outubro de 2026), “12,976 internet-exposed service observations across 10 product groups… 6,017 distinct public IP addresses in 99 countries and territories”, dos quais 4.697 serviços Danfoss StoreView e 7.075 Copeland/Dixell XWEB.[32] Essas cifras medem exposição, não comprometimento. A literatura acadêmica registra o problema há quase uma década: já em 2016, varreduras de toda a internet encontravam sistemas de controle industrial acessíveis publicamente,[33] e levantamentos históricos mostram que os ataques a esses sistemas, que remontam aos anos 1980, atingiram também infraestrutura crítica.[34]

4.3 Plausibilidade do “superaquecimento via degelo” e o número de 50°C

O mecanismo descrito é tecnicamente plausível e foi confirmado por operadores. Werner Muylle, da De Laet & Van Haver, explicou à Belga que “les évaporateurs avaient été mis en mode dégivrage, ce qui a provoqué un réchauffement des éléments à l’intérieur des réfrigérateurs”.[3] Na França, segundo o Le Monde citado pela TIME, os atacantes alongaram em certos casos a duração dos ciclos de uma para oito horas, retardando os alarmes.[35] O degelo de evaporadores normalmente envolve aquecimento controlado e é encerrado por tempo ou temperatura; manipular esses limites no controlador permite manter o aquecimento e elevar a temperatura interna, o que é suficiente para tornar alimentos impróprios sem que o equipamento chegue a “50°C”.

O número de 50°C deve ser lido como valor programado. As temperaturas efetivamente medidas, quando divulgadas, foram muito inferiores: cerca de 15°C em lojas Delhaize (RTL Info, via Belga), até 18°C numa loja ao sul de Antuérpia (Reuters) e uma alta de dois a três graus na Estônia.[3][25][24][8] A comparação com “fornos” é, portanto, retórica.

4.4 A afirmação de que o patch não basta

A afirmação é parcialmente confirmada. Stephan Moelans, CEO da Sabcobel, disse à Belga e à RTL que as unidades afetadas exigiam modificações físicas, e não apenas atualização de software, e que a solução mais simples era gerir os refrigeradores por conexão segura.[1][15][17] O CERT-FR é mais preciso: para equipamentos em fim de vida, “N’effectuer qu’un Reset Factory est dans ce cas insuffisant, les persistances d’une instance compromise seront supprimées mais l’équipement restera vulnérable et sera certainement de nouveau compromis”.[5] Para o AK-SM 800A suportado, a atualização para a versão 4.3.1 corrige as falhas conhecidas.[29] A regra correta, portanto, é que o patch resolve nos modelos suportados e não existe para os modelos em fim de vida, que exigem isolamento ou substituição.

5. Atribuição e contexto geopolítico

Nenhum grupo reivindicou as ondas de outubro e de novembro, e nenhuma autoridade fez atribuição pública.[1][36] A porta-voz do Centre for Cybersecurity Belgium (CCB), Katrien Eggers, declarou à The Record: “It is not known who is behind this attack, and it may never be possible to identify them”.[1][9] A Futura-Sciences registrou que a baixa sofisticação técnica também favorece a hipótese de atores oportunistas.[37] Não houve pedido de resgate na primeira onda.[37]

O contexto torna a hipótese hacktivista pró-Rússia plausível, mas não a comprova. Em 9 de dezembro de 2025, CISA, FBI, NSA e parceiros internacionais publicaram o aviso conjunto AA25-343A, segundo o qual os grupos Cyber Army of Russia Reborn (CARR), Z-Pentest, NoName057(16) e Sector16 exploram conexões VNC expostas para atingir dispositivos OT de infraestrutura crítica, incluindo alimentação e agricultura, com casos de dano físico, e frequentemente exageram ou fabricam reivindicações.[38] No post “Cold Chain, Open Control” (outubro de 2026), a Forescout Vedere Labs escreveu: “Since January 2026, our tracking of hacktivist groups identified over 20 claimed attacks against refrigeration systems. The most active actors behind these attacks were pro-Russian groups Z-Pentest Alliance and NoName057(16)”, e acrescentou: “On a single day, April 26, Z-Pentest claimed 10 separate attacks”; trata-se de relatório de empresa de segurança, que serve como contexto e não como prova.[32] De 14 a 17 de julho de 2025, Europol e Eurojust coordenaram a Operação Eastwood contra o NoName057(16), com participação de Chéquia, França, Finlândia, Alemanha, Itália, Lituânia, Polônia, Espanha, Suécia, Suíça, Países Baixos e EUA, e a emissão de sete mandados de prisão, seis deles contra cidadãos russos, segundo o comunicado Europol/Eurojust.[39][40] O CERT-EU registrou que a inteligência dinamarquesa atribuiu à Rússia, em dezembro de 2025, um ataque do Z-Pentest a uma empresa de água em 2024.[41]

O ataque de TI à Ahold Delhaize, divulgado em 12 de outubro de 2026, coincidiu com a primeira onda francesa, mas não há vínculo técnico estabelecido com a manipulação dos refrigeradores, e os dois episódios devem ser tratados separadamente.[12][13]

Quanto aos EUA, a informação do texto é parcialmente confirmada. Um funcionário do Departamento de Defesa confirmou à Task & Purpose que o DCIS lidera uma investigação conjunta sobre falhas de refrigeração em ao menos seis comissariados em agosto de 2026.[10] O Army CID, por meio de seu Cyber Field Office, informou trabalhar com autoridades francesas para entender “the refrigeration outages in Europe”.[10] A eSecurity Planet registrou que as falhas não foram vinculadas de forma conclusiva a ataques cibernéticos.[42] O texto circulante fala em “seis bases militares” quando os locais são comissariados em bases e omite que as falhas antecederam em mais de um mês o episódio francês.

6. Resposta institucional

Na França, o CERT-FR publicou o alerta CERTFR-2026-ALE-012, intitulado “Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération”.[5] O diretor-geral da ANSSI, Vincent Strubel, considerou “urgente” desconectar os controladores da internet ou filtrar o acesso de modo estrito, segundo a AFP.[26] O parquet de Paris abriu investigação de ofício sobre “la cyberattaque d’ampleur touchant les réfrigérateurs connectés de plusieurs grands magasins”, dirigida pela seção anticibercriminalidade e confiada ao OFAC, para recensear vítimas e estabelecer o vínculo com perdas de alimentos e com equipamentos que começaram a pegar fogo.[2] Essa última expressão é paráfrase da AFP e não citação direta do parquet, e a designação “J3” não aparece nas fontes consultadas. A Futura-Sciences informou que a ANSSI foi acionada por Matignon.[37]

Na Bélgica, o parquet federal abriu investigação em 2 de novembro, segundo a BX1 e o Brussels Times, sem qualificar o incidente como ataque, segundo a AFP, e o CCB declarou estar ciente do incidente.[36][43][44][16] Na Finlândia, o NCSC-FI não descartou interferência cibernética.[6] Na Irlanda, o NCSC acompanhava a situação, segundo a RTÉ.[22] Não foram localizadas manifestações públicas do RIA/CERT-EE (Estônia), do GOVCERT.LU (Luxemburgo) ou do NCSC-NL sobre a segunda onda.

No plano da União, a única declaração oficial localizada é a do Comissário Hansen, em comunicado de 2 de novembro reproduzido por Reuters e AFP: “The repeated occurrence of these cyberattacks is deeply concerning. […] They are a deliberate attempt to disrupt our food supply chain and undermine consumers’ confidence in it — a warning that we must take seriously”.[8] Segundo a Investing.com, ele acrescentou: “Food security is not currently at risk, … the food waste and impact on businesses are real”.[45] Em 13 de outubro, Hansen havia escrito no X que “food security requires more attention at all levels”.[6] Não foram localizadas manifestações públicas da Eurojust, da ENISA, do CERT-EU ou da EU-CyCLONe sobre esses ataques.

Entre as empresas, a Danfoss atribuiu os comprometimentos a equipamentos antigos ou não atualizados e recomendou desconexão; a Copeland, que de início recusou confirmar os achados do CERT-FR, reconheceu depois uma vulnerabilidade;[46] a Sabcobel isolou equipamentos e migrou clientes para conexões seguras; e a Musgrave retirou preventivamente produtos de venda.[15][47][23]

7. Enquadramento jurídico-penal e regulatório

7.1 Direito penal material

A conduta se ajusta, em tese, a três tipos harmonizados. A Diretiva 2013/40/UE prevê o acesso ilegal a sistemas de informação (art. 3º), a interferência ilegal no sistema (art. 4º), consistente em impedir ou interromper gravemente o funcionamento de um sistema, entre outros meios, pela alteração de dados, e a interferência ilegal nos dados (art. 5º); o art. 9º, n.º 4, exige pena máxima de ao menos cinco anos para os arts. 4º e 5º quando houver dano grave, organização criminosa ou ataque contra sistema de informação de infraestrutura crítica.[48][49] A Convenção de Budapeste trata, em paralelo, do acesso ilegítimo (art. 2º), da interferência em dados (art. 4º) e da interferência em sistemas (art. 5º), e oferece a base para cooperação internacional, incluindo preservação expedita de dados e assistência mútua.[50] Como a alteração de parâmetros de degelo produziu dano patrimonial e, na França, princípio de incêndio, a investigação nacional poderá examinar também tipos comuns de dano e de perigo, conforme cada legislação. Na França, a matéria é regida pelos arts. 323-1 e seguintes do Código Penal, sobre atentados a sistemas de tratamento automatizado de dados.[51]

7.2 Regulação de cibersegurança

A Diretiva NIS2, (UE) 2022/2555, inclui no Anexo II o setor de produção, transformação e distribuição de alimentos, mas apenas para as empresas alimentares que exercem distribuição por grosso e produção e transformação industriais; o varejo alimentar, como supermercados e lojas, não figura no anexo, de modo que as redes atingidas só estão abrangidas se, por outra atividade ou por regra nacional mais ampla, entrarem no escopo.[52] Onde se aplica, a NIS2 impõe medidas de gestão de riscos (art. 21), inclusive segurança da cadeia de fornecimento e de prestadores, e a notificação de incidentes significativos (art. 23); o prazo de transposição era 17 de outubro de 2024 (art. 41). Ela também institui a rede de CSIRTs (art. 15) e a EU-CyCLONe (art. 16), canais naturais de coordenação numa crise transfronteiriça como esta.[52][53] A Diretiva CER, (UE) 2022/2557, também inclui o setor alimentar, mas restringe a identificação de entidades críticas a empresas alimentares atuantes exclusivamente em logística e distribuição por grosso e em produção e transformação industriais em grande escala, de novo fora do varejo.[54] O Regulamento de Ciber-Resiliência (CRA), (UE) 2024/2847, impõe a fabricantes de produtos com elementos digitais período de suporte compatível com a vida útil e gestão de vulnerabilidades; segundo a The Record, as obrigações principais só se aplicam a partir de 11 de dezembro de 2027 (art. 71, n.º 2) e hoje não há obrigação legal de corrigir os produtos visados.[1][55] As obrigações de notificação de vulnerabilidades ativamente exploradas e de incidentes graves (art. 14), porém, se aplicam desde 11 de setembro de 2026 e, pelo art. 69, n.º 3, alcançam também produtos colocados no mercado antes de dezembro de 2027; em tese, portanto, fabricantes como Danfoss e Copeland já devem notificar à ENISA e ao CSIRT coordenador as vulnerabilidades ativamente exploradas nos produtos visados.[55][56] O Cyber Solidarity Act, (UE) 2025/38, prevê o Mecanismo de Emergência em Cibersegurança e a reserva de cibersegurança da União, cuja aplicabilidade ao caso dependeria de solicitação dos Estados.[57]

O caso expõe uma lacuna regulatória: o fabricante declarou o fim de vida dos equipamentos, o frigorista mantém o acesso remoto e o lojista independente, proprietário do equipamento, em regra não é entidade abrangida pela NIS2, cujo Anexo II alcança apenas o atacado e a indústria alimentar, nem tem capacidade técnica para avaliar o risco. A Danfoss justificou o fim estrito de serviço com a “recente legislação europeia de cibersegurança”, o que mostra que o CRA pode, no curto prazo, acelerar a descontinuação de equipamentos legados em vez de estimular sua correção.[1]

7.3 Nota comparativa: Brasil

No Brasil, condutas análogas seriam examinadas, em tese, à luz do art. 154-A do Código Penal (invasão de dispositivo informático), incluído pela Lei 12.737/2012 e com penas elevadas pela Lei 14.155/2021: o § 2º prevê aumento de um terço a dois terços se da invasão resulta prejuízo econômico, e o § 3º prevê a forma qualificada, de reclusão de dois a cinco anos e multa, se a invasão resulta, entre outras hipóteses, em controle remoto não autorizado do dispositivo invadido, o que se ajusta ao modo de atuação descrito;[58][59] do art. 266 do Código Penal, cujo § 1º, incluído pela Lei 12.737/2012, pune a interrupção de serviço telemático ou de informação de utilidade pública, enquadramento de aplicação duvidosa aqui, porque o controlador de refrigeração de uma loja dificilmente é serviço de utilidade pública; e, conforme o resultado, de tipos de dano e de perigo comum. O Decreto 11.491/2023 promulgou a Convenção de Budapeste, o que viabiliza a cooperação com os países europeus envolvidos.[60] A qualificação concreta depende dos fatos e da prova de cada caso.

8. Lições e recomendações

Para operadores de varejo e de cadeia de frio, recomenda-se o seguinte, em ordem de prioridade:

1. Inventariar todos os equipamentos OT com interface de administração, registrando modelo, versão de firmware, data de fim de suporte e prestador responsável.[5]
2. Remover qualquer exposição direta à internet, inclusive por modems 4G instalados por prestadores, verificando o resultado externamente; o filtro por IP de origem é solução apenas transitória, segundo o CERT-FR, e o alvo é acesso por VPN ou bastião, com contas nominais, segundo fator e registro de conexões.[5]
3. Isolar ou substituir equipamentos em fim de vida, porque, para eles, não há correção e o reset de fábrica é insuficiente.[5]
4. Trocar senhas padrão, aplicar o modo de segurança “Strict” e atualizar o AK-SM 800A para a versão 4.3.1 ou superior, conforme o CERT-FR e a Claroty.[5][29][11]
5. Rever a configuração, em especial as faixas e durações de degelo, e instalar alarmes de temperatura independentes do controlador, pois quem domina o controlador também domina a supervisão que dele depende.
6. Reescrever contratos de manutenção para definir quem monitora avisos de segurança, quem aplica correções e em que prazo, e conferir a cobertura de seguro antes de desligar a telemetria do frigorista, como recomenda o CERT-FR.[5]

Para autoridades, recomenda-se:

1. Tratar os controladores de refrigeração expostos como questão de infraestrutura crítica alimentar, com varreduras nacionais e notificação ativa a proprietários.
2. Publicar indicadores de comprometimento e o vetor de acesso assim que a investigação permitir, já que o CERT-FR não os divulgou até 13 de outubro e a ausência de informação dificulta a defesa.[26]
3. Coordenar a investigação transfronteiriça por Europol/EC3 e Eurojust, com preservação expedita de registros de provedores de acesso móvel e de prestadores de manutenção remota, nos termos da Convenção de Budapeste.
4. Evitar atribuição precipitada; a baixa sofisticação e a ausência de reivindicação comportam tanto hacktivismo alinhado a Estados quanto atores oportunistas.
5. Para o Brasil, verificar a exposição de controladores Danfoss, Copeland e Dixell em redes varejistas nacionais, já que os mesmos produtos são comercializados globalmente.[61]

9. Caveats

A cobertura da segunda onda tem menos de 48 horas e os números ainda podem mudar. Vários dados vêm de declarações de empresas e de fonte única (por exemplo, a temperatura de 50°C nas lojas suecas, informada pela própria loja no Facebook, e as contagens neerlandesas). Os relatórios de Claroty, Forescout e Previdian são de empresas com interesse comercial no tema. Relatos de impacto em Portugal e em outros países além dos sete citados não foram incluídos, por falta de fonte que os detalhe. Agregadores, blogs e reproduções de agência de baixa confiabilidade foram excluídos das referências; os fatos do incidente repousam em fontes primárias e em veículos identificados no texto. A literatura acadêmica citada serve ao contexto técnico e regulatório e não atesta fatos do incidente, posterior às publicações.

10. Quadro de verificação

Afirmação da notícia	Status	Fonte e observação
Ataque coordenado a refrigeração conectada em supermercados de ao menos sete países europeus	Confirmada	AFP e Reuters (2 nov. 2026); “coordenado” não foi demonstrado por autoridade[7]
Ativação remota do degelo	Confirmada	Belga/L’Avenir, Sabcobel e De Laet & Van Haver (2 nov. 2026); CERT-FR (12 out. 2026)
Temperaturas de até 50°C	Parcialmente confirmada	50°C como valor programado (ICA Sjöbo, ERR); medições de 15°C a 18°C na Bélgica e alta de 2 a 3 graus na Estônia
Perdas catastróficas e milhões de euros em danos	Parcialmente confirmada	Na França, dezenas de milhões (Cotillard, BFMTV); na segunda onda, sem valor agregado divulgado
Ataque durante a madrugada	Confirmada	Belga, Sabcobel e Delhaize (2 nov. 2026)
Redes, lojas locais e “instalações institucionais”	Parcialmente confirmada	Redes e pequenos comércios confirmados (NOS, Belga); instalações institucionais não confirmadas
Bélgica, Suécia, Irlanda, Estônia, Luxemburgo e Países Baixos	Confirmada	Belga, AP, RTÉ, ERR, NOS (2 nov. 2026)
Finlândia	Parcialmente confirmada	Yle/AFP: anomalias em lojas Kesko; causa cibernética não confirmada pelo NCSC-FI
Carrefour e Delhaize	Confirmada	Carrefour Bélgica (15 lojas, via Belga) e Delhaize (“several dozen of our stores”, porta-voz à The Register, 2 nov. 2026)
Coop e ICA	Confirmada	ICA e Coop Suécia (Dagligvarunytt, Reuters, AFP)
Spar	Confirmada	Colruyt: cerca de cinco lojas Spar (BleepingComputer, NBC)
SuperValu	Confirmada	Musgrave: 13 de 223 lojas (RTÉ, Reuters)
Ikea na Bélgica	Confirmada	Ikea Bélgica: loja de Mons (AFP/France 24, NBC)
“Thousands of pounds” em mercadorias descartadas	Não confirmada	Moeda incompatível com os países citados; descarte confirmado, valor não
Declaração de Christophe Hansen	Confirmada	Comunicado de 2 nov. 2026 (Reuters, AFP); citação truncada, mas fiel[8]
Exploração de vulnerabilidades em OT/IoT de manutenção remota	Confirmada	CERT-FR; Danfoss à NOS; The Record
Patch de software não basta em alguns modelos	Parcialmente confirmada	Sabcobel (Belga/RTL); CERT-FR para equipamentos em fim de vida; modelos suportados têm correção
Segunda onda de ataques	Confirmada	The Record, AFP, Reuters (2 nov. 2026)
Precedente francês em “outubro de 2026” com “mais de 400” supermercados	Parcialmente confirmada	Data correta (11 e 12 out.); contagem revista para cerca de 700 dos 10.000 supermercados do país (ministro Roland Lescure ao Parlamento, 13 out., via AP; parquet de Paris à The Record)
Ataque francês “idêntico”	Confirmada	Sabcobel: “exactly the same mechanism” (Belga)[16]
Pequenos incêndios elétricos na França	Parcialmente confirmada	Parquet de Paris via AFP: equipamentos que “começaram a pegar fogo”; extensão não detalhada
Investigação dos EUA sobre seis bases militares ligada à crise europeia	Parcialmente confirmada	DCIS lidera investigação sobre ao menos seis comissariados (Task & Purpose, eSecurity Planet); vínculo não demonstrado
Nenhuma reivindicação	Confirmada	AFP, Reuters, The Record (2 nov. 2026)
Agências nacionais investigando	Parcialmente confirmada	França e Bélgica com investigação formal; Suécia, Finlândia e Irlanda acompanhando; sem manifestação localizada na Estônia, no Luxemburgo e nos Países Baixos

11. Fontes

As fontes primárias de referência deste briefing são o alerta CERTFR-2026-ALE-012 do CERT-FR (12 a 16 de outubro de 2026), os comunicados da Ahold Delhaize de 12 e 19 de outubro de 2026, o aviso conjunto CISA AA25-343A (9 de dezembro de 2025), o aviso CISA ICSA-25-140-03, os avisos de segurança da Danfoss e a pesquisa da Claroty Team82 (9 de agosto de 2026), o texto oficial das normas citadas, a pesquisa acadêmica indicada nas referências, além das declarações de empresas e autoridades reproduzidas por AFP, Reuters, AP, Belga, RTÉ, ERR, NOS, The Record e BleepingComputer, todas identificadas no corpo do texto com veículo e data.

Referências numeradas

A numeração abaixo corresponde às notas entre colchetes no texto.

1. Second wave of suspected cyberattacks hits supermarket freezers across Europe
2. Un piratage “pas si sophistiqué que ça” : ce que l’on sait de la cyberattaque qui a fait monter en température les frigos de supermarchés
3. “Les paramètres ont été modifiés à distance”: des dizaines de supermarchés belges ciblés par un piratage des frigos et congélateurs
4. Des supermarchés français touchés par une cyberattaque de leurs installations frigorifiques
5. Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération - CERT-FR
6. Fridge cyberattack hits supermarkets across Europe
7. Freezers at supermarkets in several European countries hit by apparent cyberattacks - ABC News
8. New cyberattack on supermarket fridges sweeps across Europe
9. Another cyberattack on supermarket fridges sweeps Europe, leaving food spoiled
10. Military investigates commissary freezer failures as possible cyberattack
11. Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers
12. Ahold Delhaize update on status of cybersecurity incident
13. Ahold Delhaize takes precautionary measures following cybersecurity incident
14. Koelsystemen supermarkten via standaard wachtwoord gehackt - Security.NL
15. Hackers disrupt refrigeration systems at European supermarkets
16. Cyberattacks hit supermarket fridges and freezers in Europe, Belgium launches investigation
17. Des cyberattaques touchent les réfrigérateurs de supermarchés dans au moins 6 pays européens.
18. Fresh wave of fridge cyberattacks hits European supermarkets - France 24
19. Supermarket freezers across Europe struck in second crippling cyberattack — hackers raise temperatures to 50 degrees Celsius in Belgium and Sweden, destroying food stocks
20. Les frigos de plusieurs dizaines de supermarchés touchés par une cyberattaque en Belgique et dans plusieurs pays européens - RTBF Actus
21. Göteborgs-Posten (TT): Matbutiker hackade i Europa – Ica och Coop drabbade
22. SuperValu stores hit by cyber attack now back to normal
23. SuperValu withdraws chilled and frozen food in 13 stores after cyber attack - Agriland.ie
24. Hackers raised freezer temperature at Selver supermarket to +50°C
25. Supermarchés : vos courses perturbées chez Delhaize ce lundi ? L’enseigne victime d’une cyberattaque sur ses frigos et congélateurs, “4000 € de perte” - La DH/Les Sports+
26. Attackers Heat French Supermarket Fridges Up to 50°C by Hijacking Danfoss Controllers
27. Synacktiv: Danfoss AK-SM800A, multiple vulnerabilities (2023)
28. Danfoss: Security advisory DSA-2023-08-01
29. CISA: ICS Advisory ICSA-25-140-03, Danfoss AK-SM 8xxA Series (Update A)
30. Researchers warned attackers could ‘defrost the food’ months before French supermarkets got hit
31. ‘Duizenden online koelsystemen gebruiken datum als wachtwoord’ - Security.NL
32. Forescout Vedere Labs: Cold Chain, Open Control: Exposed Refrigeration Systems Reveal Global Risk
33. MIRIAN, Ariana et al. An Internet-wide view of ICS devices. In: 14th Annual Conference on Privacy, Security and Trust (PST). IEEE, 2016. p. 96-103. DOI 10.1109/PST.2016.7906943
34. MILLER, Thomas et al. Looking back to look forward: Lessons learnt from cyber-attacks on Industrial Control Systems. International Journal of Critical Infrastructure Protection, v. 35, 100464, 2021. DOI 10.1016/j.ijcip.2021.100464
35. ‘Unprecedented’ Cyberattack Targets French Supermarket Fridges
36. Fridge cyberattack hits supermarkets across Europe
37. Plus de 400 supermarchés piratés, aucune rançon : les dessous d’une cyberattaque qui inquiète jusqu’à Matignon
38. Opportunistic Pro-Russia Hacktivists Attack US and Global Critical Infrastructure
39. Europol: Global operation targets NoName057(16) pro-Russian cybercrime network (Operation Eastwood)
40. Eurojust: Hacktivist group responsible for cyberattacks on critical infrastructure in Europe taken down
41. CERT-EU: Cyber Brief 26-01 (threat intelligence)
42. Pentagon Investigates Possible Cyberattacks Behind US Military Freezer Failures
43. Attaque d’installations frigorifiques : le parquet fédéral ouvre une enquête - BX1
44. Belgian federal prosecutor launches investigation into supermarket cyberattacks
45. EU fridge cyberattacks aim to disrupt food supply, official says By Investing.com
46. SecurityWeek: Supermarket refrigeration attack widens to Copeland, Dixell controllers
47. Des pirates ont déclenché à distance le dégivrage des frigos : des supermarchés français victimes d’une cyberattaque doivent jeter tous leurs produits frais - RTBF Actus
48. Diretiva 2013/40/UE relativa a ataques contra sistemas de informação, texto oficial no EUR-Lex
49. BUONO, Laviero. The Key Features of the EU Cybercrime Directive 2013. Computer Law Review International, v. 14, n. 4, 2013. DOI 10.9785/ovs-cri-2013-103
50. Conselho da Europa: Convenção sobre o Cibercrime (STE 185, Budapeste, 2001)
51. França: Code pénal, arts. 323-1 a 323-8 (atteintes aux systèmes de traitement automatisé de données), Légifrance
52. Diretiva (UE) 2022/2555 (NIS2), texto oficial no EUR-Lex
53. TEICHMANN, Fabian. Cybersecurity of critical infrastructure in Europe: the NIS2 directive in focus. International Cybersecurity Law Review, v. 6, n. 3, p. 207-220, 2025. DOI 10.1365/s43439-025-00154-4
54. Diretiva (UE) 2022/2557 (CER), texto oficial no EUR-Lex
55. Regulamento (UE) 2024/2847 (Cyber Resilience Act), texto oficial no EUR-Lex
56. RUOHONEN, Jukka; TIMMERS, Paul. Vulnerability Coordination under the Cyber Resilience Act. Applied Cybersecurity & Internet Governance, 2025. DOI 10.60097/ACIG/213350
57. Regulamento (UE) 2025/38 (Cyber Solidarity Act), texto oficial no EUR-Lex
58. Brasil: Código Penal (Decreto-Lei 2.848/1940), arts. 154-A e 266, texto compilado no Planalto
59. Brasil: Lei 14.155/2021, que alterou o art. 154-A do Código Penal
60. Brasil: Decreto 11.491/2023, que promulga a Convenção de Budapeste
61. Could the cyberattack that shut down European grocery fridges happen here next?