Ataques a refrigeradores e cibersegurança na cadeia fria

Às 2h da manhã de 2 de novembro, os freezers de uma loja da rede ICA em Estocolmo chegaram a 50 °C. A gerente só descobriu horas depois, quando a comida já estava perdida. Não houve pane elétrica nem defeito de compressor. Alguém entrou remotamente no controlador de refrigeração e mandou o equipamento esquentar.

Foi a segunda onda de ataques desse tipo na Europa em menos de um mês. O recado serve para qualquer operação que guarda produto sensível à temperatura, inclusive hospitais, laboratórios e hemocentros no Brasil.

O que aconteceu na França e no resto da Europa

A primeira onda veio na madrugada de 11 para 12 de outubro, na França. Segundo o ministro da Economia francês, cerca de 700 dos 10 mil supermercados do país foram afetados, entre eles lojas Intermarché, Carrefour, Monoprix e Coopérative U. Toneladas de alimentos foram para o lixo e algumas lojas registraram incêndios.

Em 2 de novembro, o ataque se repetiu em vários países europeus, como Bélgica, Suécia, Luxemburgo e Estônia. Delhaize, Carrefour, Colruyt, ICA e Coop estão entre as redes atingidas, e uma única loja belga calculou prejuízo de 100 mil euros. Em outro relato publicado pela CNN Brasil, com informações da Reuters, um comerciante perdeu 15 mil euros em carne depois que os refrigeradores passaram de 18 °C.

Esses números vêm de lojistas e funcionários, não de perícia, e a autoria segue sob investigação. O mecanismo descrito, porém, é o mesmo nas duas ondas.

Como um comando de degelo vira perda de estoque

O degelo aquece o evaporador para derreter o gelo acumulado. Enquanto o ciclo roda, a refrigeração para ou diminui. É uma função normal. O problema começa quando alguém de fora aciona o degelo sem necessidade ou o deixa ligado por horas.

Foi o que os invasores fizeram. Os controladores atacados, em boa parte da fabricante dinamarquesa Danfoss, ficavam acessíveis pela internet para que técnicos ajustassem parâmetros à distância. A Danfoss confirmou que os modelos atingidos eram obsoletos ou estavam sem atualização, embora a correção existisse desde agosto de 2025. O alerta oficial francês também citou equipamentos Copeland e Dixell.

O mais traiçoeiro é que o controlador continua cumprindo uma ordem que ele considera legítima. Para o sistema, tudo segue dentro do programado. Para o produto, a temperatura está subindo.

Por que a leitura do controlador não basta

Na maioria das operações, o mesmo sistema que comanda o frio também mede a temperatura e dispara o alarme. Quando o invasor toma o controlador, leva junto o painel que deveria avisar. É como deixar o ladrão cuidando da câmera de segurança.

Um sensor independente resolve boa parte disso. Ele mede por outro dispositivo, que não recebe ordens do controlador. Se o comando indica normalidade e o sensor mostra a câmara aquecendo, a divergência vira alerta. Saber separar uma coisa da outra é parte do trabalho, e tratamos disso em erro humano versus falha técnica.

Essa separação só protege de verdade se os dois caminhos não dividirem os mesmos pontos fracos. Se sensor, controlador e alertas usam a mesma rede, as mesmas senhas e o mesmo gateway, uma invasão derruba tudo de uma vez.

O limite do alerta também precisa seguir o produto. Vacina, hemoderivado e reagente têm faixas diferentes. Um valor único para todo o estoque gera alarme demais ou deixa passar o que importa. Já falamos sobre como o excesso de alarmes provoca falhas em hospitais e sobre os parâmetros ambientais mais ignorados em estoques de fármacos.

O que fazer para reduzir a exposição

Controlador de refrigeração é tecnologia operacional, e quase ninguém o trata assim. O ponto de partida é saber o que existe e quem acessa.

1. Faça o inventário de cada controlador: modelo, versão de software, local, responsável, conexões remotas e fornecedor.

2. Tire as interfaces de controle da internet aberta. Se a manutenção precisa de acesso remoto, use um ponto controlado, com autenticação multifator e conta individual para cada técnico.

3. Separe a rede dos equipamentos da rede corporativa e libere só a comunicação que cada um precisa.

4. Atualize o firmware em janela de manutenção planejada e teste antes. Atualizar às cegas pode parar uma função importante, e nunca atualizar deixa a porta aberta. Veja também como evitar erros de firmware em sensores.

5. Registre acessos, mudanças de configuração e acionamentos de degelo, com relógio sincronizado.

O problema não é só francês. A autoridade de cibersegurança da Grécia encontrou mais de 300 sistemas expostos no país, a maioria controladores de refrigeração.

Quem atende o alerta às 2h da manhã?

O caso de Estocolmo deixa claro que alerta sem plantão não adianta. Defina quem recebe a notificação de madrugada, quem confirma a condição e quem autoriza transferir o produto. Teste esses canais de tempos em tempos. Uma mensagem que cai na caixa de email de alguém de folga não é resposta.

Deixe pronto o plano de contingência: equipamento alternativo qualificado, quem faz a transferência e como registrar a temperatura no caminho. A decisão de liberar, segregar ou descartar fica com o procedimento de qualidade, olhando o produto e o histórico da excursão. Relatórios automáticos bem parametrizados deixam essa análise bem mais rápida.

Se houver suspeita de invasão, preserve os registros antes de reiniciar ou reconfigurar qualquer coisa. Chame segurança da informação e manutenção juntas, porque um reset apressado pode apagar a evidência.

Onde a DROME entra

A DROME é a segunda camada que faltou nesses supermercados: um monitoramento que não depende do sistema de controle. Nossos sensores medem por conta própria e não recebem comandos do controlador da câmara. Se alguém invadir o painel e ligar o degelo, o controlador pode até mostrar normalidade. O sensor da DROME mostra a temperatura subindo, e o alerta sai na hora.

O hardware é nosso, desenvolvido e calibrado dentro de casa. O Sensor Satélite STE cobre temperatura e o SUL, com sonda PT100, acompanha freezers de temperatura ultrabaixa. A Concentradora CTD transmite pelo modem celular, aguenta até 12 horas na bateria e guarda as leituras em buffer por até 20 dias. Caiu a energia ou a rede local, o dado continua chegando e o histórico fica completo.

Com o DROME Predict, a plataforma vai além do alarme. A inteligência artificial aprende o comportamento de cada equipamento e antecipa falhas com 30 a 60 minutos de antecedência, tempo suficiente para transferir o estoque com calma. E quando o problema é súbito, como um degelo forçado, o alerta chega logo na primeira leitura fora da faixa.

Tudo fica registrado com trilha de auditoria pronta para a RDC 430 da ANVISA e para o 21 CFR Part 11 do FDA. São mais de oito anos dentro de hospitais e laboratórios, mais de 60 clientes ativos e 1,25 bilhão de leituras por ano, em redes como Rede D’Or e DASA e em operações como a Hemobrás. Conheça a solução de cadeia fria e ambientes.

Os supermercados europeus descobriram o problema quando abriram as portas pela manhã. Com a DROME, o plantão fica sabendo enquanto ainda dá para salvar o estoque. Agende uma demonstração e veja como isso funciona na sua operação.

Perguntas frequentes

Como um ataque hacker consegue aquecer uma câmara fria?

Com acesso remoto ao controlador, o invasor aciona o degelo ou muda o ponto de ajuste. A refrigeração para, o evaporador aquece e a temperatura sobe até comprometer os produtos.

A leitura do controlador basta para confirmar a temperatura real?

Não. Ela vem da sonda ligada ao próprio controlador, que pode estar mal posicionada, com defeito ou sob o mesmo controle invadido. Um sensor independente, com rede e alimentação separadas, dá a segunda opinião.

Qual temperatura deve disparar o alerta?

Depende do produto e da etapa de armazenamento. Use a faixa do fabricante e dos procedimentos de qualidade da operação, não um valor único para tudo.

A DROME perceberia um ataque como o da Europa?

Sim. Os sensores da DROME não dependem do controlador, então medem o aquecimento real mesmo quando o painel invadido indica normalidade. O alerta dispara na primeira leitura fora da faixa e chega ao plantão a qualquer hora, inclusive de madrugada.

E se a energia ou a internet do local cair?

A Concentradora CTD segue funcionando por até 12 horas na bateria e envia os dados pelo modem celular, sem depender da rede do cliente. As leituras ficam guardadas em buffer por até 20 dias, então nenhum registro se perde.