Análise editorial · Fontes primárias
França confirma numerosas intrusões em controladores frigoríficos enquanto os ataques podem continuar
O CERT-FR ampliou o incidente dos supermercados franceses: confirmou numerosas intrusões em controladores Danfoss, Copeland e Dixell e alertou que as campanhas de ataque provavelmente continuam ativas.
Incidente, divulgação e atualização
O incidente operacional começou na noite de 11 para 12 de outubro de 2026. Em 12 de outubro, o presidente da Coopérative U, Dominique Schelcher, confirmou publicamente ciberataques contra instalações de produção de frio de várias lojas [1]. O CERT-FR publicou o primeiro alerta nesse dia e atualizou-o em 13 de outubro para acrescentar outros equipamentos visados. O boletim oficial comunica agora numerosas intrusões em controladores Danfoss AK-SM e AK-SC e sistemas Copeland/Dixell xweb [2].
O que mudou
A atualização amplia substancialmente a exposição para além de um retalhista e de uma família de fornecedores. O CERT-FR considera provável que as campanhas ainda estejam em curso e alerta que uma reposição de fábrica é insuficiente se um equipamento sem suporte ou correção continuar diretamente exposto à Internet: será provavelmente comprometido de novo [2]. Continua a ser uma intrusão confirmada em tecnologia operacional; as fontes primárias públicas não estabelecem uma CVE específica explorada, família de malware ou agente.
Quem deve avaliar a exposição
Retalhistas alimentares, operadores frigoríficos e logísticos, equipas de instalações e prestadores de serviços de refrigeração devem identificar famílias afetadas, exposição por IP público, firmware em fim de vida e vias de acesso remoto de terceiros. É necessário rever a atividade pelo menos desde 11 de outubro: alterações de parâmetros de temperatura, ciclos de descongelação, alarmes, utilizadores e configuração de rede. Inclua ativos geridos por fornecedores mesmo que estejam fora do inventário de TI empresarial.
Resposta e prioridades da missão
Para unidades não comprometidas, o CERT-FR recomenda retirar a exposição direta, validar toda a configuração e restaurar o acesso apenas através de VPN segura ou rede protegida. Para unidades comprometidas, retirar a exposição, repor as definições de fábrica, reconfigurar e atualizar antes de voltar a ligar [2]. Sempre que possível, preserve primeiro provas dos controladores, firewalls, identidades e acessos dos fornecedores. Verifique independentemente temperaturas e segurança dos produtos, prepare operações manuais e coordene segurança, instalações, segurança alimentar, jurídico, comunicação e fornecedores. O NIST integra resposta, gestão de risco e recuperação [4].
Governação, incógnitas e confiança
A direção deve exigir firmware suportado, alteração das palavras-passe predefinidas, modos de segurança rigorosos, registo independente, acesso contratual durante incidentes e procedimentos de isolamento testados. O número exato de vítimas, acesso inicial, identidade e objetivo do atacante e todas as consequências físicas não estão verificados nas fontes primárias analisadas. A confiança é alta quanto à intrusão em várias famílias e ao risco de novo comprometimento, mas média quanto ao alcance total e à causa.
Fontes
- Dominique Schelcher (Coopérative U), public incident statement on X, 12 October 2026 (accessed 15 October 2026)
- CERT-FR, CERTFR-2026-ALE-012: Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, initial version 12 October and update 13 October 2026 (accessed 15 October 2026)
- Centre for Cybersecurity Belgium, Warning: Security incidents in France targeting remote controllers for refrigeration, last update 13 October 2026 (accessed 15 October 2026)
- NIST, SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management, final, April 2025 (accessed 15 October 2026)