Hackers levam geladeiras de mercados franceses a 50 °C, e 4.500 controladores seguem expostos

Atacantes assumiram remotamente o controle de refrigeradores e freezers de pelo menos 350 supermercados franceses durante a noite, acionaram o modo de degelo e deixaram a temperatura subir a até 50 °C (122 °F). No Intermarché, os refrigeradores de cerca de 150 lojas permaneceram tão quentes por seis horas, e todos os produtos armazenados foram descartados. A porta de entrada foi o equipamento que controla os corredores refrigerados de uma loja inteira: um controlador Danfoss, gerenciado pela internet por empresas especializadas em refrigeração.

Para os clientes, isso significou corredores de congelados fechados e funcionários no centro de Paris despejando carrinhos cheios de carne descongelada e sorvete derretido em enormes caçambas de lixo. Para todos os demais, o problema vai muito além da França. Usando o mecanismo de busca Shodan, a Reuters encontrou pelo menos 4.500 interfaces Danfoss ainda visíveis na internet depois do ataque, e a empresa francesa de varredura Onyphe afirmou que apenas uma pequena minoria parecia usar o software mais recente.

O Carrefour contabilizou 80 supermercados afetados, e o Monoprix, cerca de 5% de suas aproximadamente 490 lojas francesas. A Coopérative U também foi atingida, embora seu diretor-executivo, Dominique Schelcher, tenha dito que a cadeia do frio foi mantida na maioria das lojas afetadas, graças à reação rápida de funcionários e prestadores de serviço. A E.Leclerc afirmou que um de seus fornecedores de refrigeração sofreu um ataque. O Ministério Público de Paris informou que houve perdas de alimentos e equipamentos que começaram a pegar fogo. Thierry Cotillard, presidente do grupo Les Mousquetaires, controlador do Intermarché, disse à BFMTV que os prejuízos chegariam a “dezenas de milhões de euros em todo o país em um único dia”.

A Danfoss afirma que muitas das unidades atingidas “chegaram ao fim da vida útil e não recebem mais atualizações de software ou segurança”, enquanto outras estavam “usando firmware desatualizado”. A empresa citou dois modelos mais antigos, o AK-SM 800 e o AK-SC 355, ambos descontinuados há anos. Alguns controladores AK-SM 800A atuais, mas com firmware antigo, também foram atingidos. A agência nacional de cibersegurança da França, ANSSI, também mencionou softwares da Copeland e de sua marca Dixell entre os sistemas afetados. A Copeland reconheceu a “vulnerabilidade” e declarou: “Estamos trabalhando atualmente com os clientes afetados para mitigar o risco.”

Os sistemas de refrigeração de supermercados ficam conectados à internet por uma razão bastante prática. Um prestador de serviço pode ajustar temperaturas, desativar alarmes e alterar ciclos de degelo sem precisar ir até a loja. A CERT-FR, equipe de resposta a emergências do governo, orientou todos os operadores de controladores Danfoss AK-SM e AK-SC a desconectá-los da internet ou restringir rigorosamente quem pode acessá-los. Segundo a AFP, Vincent Strubel, diretor da ANSSI, classificou essa medida como urgente.

Ninguém sabe dizer ainda como os atacantes conseguiram entrar, nem por quê. Nenhum grupo reivindicou o ataque e nenhum pedido de resgate foi feito, o que tem intrigado os investigadores, de acordo com uma fonte ouvida pela Reuters. A CERT-FR não identificou nenhuma vulnerabilidade, versão de firmware ou sinal de comprometimento que os operadores possam verificar, e as falhas documentadas pela empresa de segurança Claroty no AK-SM 800A não foram associadas ao ataque. Os proprietários dos modelos mais antigos não têm sequer uma correção para instalar: a solução efetiva é comprar equipamentos novos dos mesmos prestadores que instalaram os aparelhos antigos. “É uma questão de higiene básica de cibersegurança”, disse Ken Munro, da Pen Test Partners. “Se você errar, acaba com uma sujeira fedorenta de alimentos descongelados.” Ele acrescentou que os atacantes encontraram a porta aberta e que os responsáveis poderiam facilmente ser “crianças aprontando”.

A França talvez não seja o único país afetado. Félix Aimé, analista de inteligência de ameaças da Sekoia, disse à Reuters que Espanha, Portugal, Polônia, Alemanha e Bélgica também haviam sido atingidos, sem dar detalhes. A ANSSI está em contato com agências de outros países europeus. Em um incidente separado, os serviços de compras online da rede varejista holandesa Ahold Delhaize ficaram fora do ar no mesmo período, mas o centro de cibersegurança dos Países Baixos, NCSC, não vê ligação entre os casos. Há precedentes: refrigeradores de cerca de uma dúzia de lojas militares nos Estados Unidos foram afetados de forma semelhante no fim de agosto, e o boletim informativo da própria Danfoss para clientes registra ataques a 16 supermercados russos e 40 lojas israelenses em 2022.

O ataque começou na noite de domingo, 11 de outubro, e a CERT-FR publicou seu alerta no dia seguinte. A Danfoss declarou o AK-SM 800 fora de linha em maio de 2021 e descontinuou o AK-SC 355 em 2016, enquanto a Claroty publicou sua pesquisa sobre o modelo mais novo em 9 de agosto. O setor de crimes cibernéticos do Ministério Público de Paris abriu uma investigação, conduzida pelo órgão de combate ao cibercrime OFAC, para contabilizar as vítimas e relacionar cada prejuízo ao ataque. A federação francesa do varejo FCD pediu “total transparência” à Danfoss. Até que os investigadores descubram como os atacantes entraram, a medida mais barata da lista da CERT-FR não exige correção de software: tirar o controlador da internet.

Tags: Pelé, Cher, segurança IoT, ataque hacker, ANSSI, Carrefour