Ciberataque aos frigoríficos de supermercados na Europa: o que rever nos equipamentos da sua empresa ligados à Internet

Na madrugada de segunda-feira, 2 de novembro de 2026, dezenas de supermercados em vários países europeus descobriram que os frigoríficos e as arcas congeladoras tinham sido manipulados à distância. Segundo a BBC, foram afetadas lojas em sete países: cerca de 40 supermercados Delhaize na Bélgica e no Luxemburgo e um número mais pequeno na Suécia, na Irlanda, nos Países Baixos, na Estónia e na Finlândia. Em algumas lojas, a temperatura dos equipamentos chegou aos 50 °C e foi preciso deitar fora a comida.

É a segunda vaga em menos de um mês, depois do ataque que, em outubro, atingiu cerca de 700 supermercados em França. A sua empresa provavelmente não tem arcas congeladoras, mas é quase certo que tem algum equipamento ligado à Internet que um técnico gere à distância. É aí que está a lição. Neste artigo resumimos o que se sabe, com base nas fontes publicadas, e o que deve rever.

O que aconteceu na madrugada de 2 de novembro

Stephan Moelans, diretor-geral da Sabcobel, a empresa belga de refrigeração que gere os sistemas da Delhaize, disse à agência Belga que se tratou de um ciberataque que pôs os evaporadores dos equipamentos em modo de descongelação, o que os fez aquecer. Citado pela BBC, explicou que a equipa passou «toda a noite e a manhã» a desligar da rede os equipamentos afetados. Ao jornal Le Soir, citado pelo DN, referiu cerca de vinte sistemas afetados, entre as centenas que a empresa gere na Bélgica.

Os números conhecidos até agora, todos de fontes jornalísticas e ainda provisórios, são estes:

• Bélgica e Luxemburgo: cerca de 40 lojas Delhaize. A Carrefour disse que 15 das mais de 700 lojas na Bélgica foram atingidas e a Colruyt Group indicou cinco lojas Spar (NBC News). Uma loja Delhaize em Hoeilaart estimou perdas de 100 mil euros em produtos, sem contar com o tempo de loja fechada (BBC).
• Suécia: várias lojas ICA e sete das 800 lojas Coop. A ICA explicou que foram afetadas lojas que usam um fornecedor externo e que têm a ligação fora da rede central do grupo.
• Irlanda: 13 supermercados SuperValu, segundo a Pplware.
• Estónia: o fornecedor de refrigeração Kitman Coldtech disse à televisão pública ERR que as temperaturas foram postas nos 50 °C (CNBC).

Uma gerente de uma loja ICA em Estocolmo contou à Reuters, citada pela CNBC, que o ataque aconteceu às 2h da manhã, mas só foi notado horas depois. Até agora ninguém reivindicou o ataque e as autoridades não disseram quem está por trás. Os centros nacionais de cibersegurança da Bélgica e da Suécia estão a acompanhar o caso.

O precedente francês: equipamentos antigos e acessíveis pela Internet

Em outubro, o padrão foi o mesmo. Segundo a CNN, cerca de 700 lojas em França foram afetadas, os atacantes ligaram-se remotamente aos controladores e ativaram os ciclos de descongelação. A agência francesa de cibersegurança, a ANSSI, disse à CNN que foram comprometidos controladores de pelo menos três fabricantes, incluindo a Danfoss, a Copeland e a Dixell.

Três pormenores dessa investigação interessam a qualquer empresa:

• A Danfoss reconheceu que muitas das unidades atingidas já não recebiam atualizações de software ou de segurança, ou tinham software desatualizado. A Copeland falou de uma vulnerabilidade numa geração de controladores já descontinuada.
• Félix Aimé, investigador da Sekoia, disse que, antes do ataque, havia mais de 1.700 instalações do software da Danfoss em causa expostas à Internet em França.
• Em agosto, a Claroty tinha publicado falhas no controlador Danfoss AK-SM 800A, incluindo um código diário escondido que permitia entrar sem a palavra-passe do administrador. Encontrou 2.765 destes equipamentos acessíveis na Internet e recomendou atualizar para o firmware R4.3.1 e não expor a interface de gestão.

O mesmo investigador disse à Reuters, segundo a CNN, que Espanha, Portugal, Polónia, Alemanha e Bélgica também tinham sido afetados em outubro. Não encontrámos confirmação oficial sobre os casos em Portugal.

Ainda não se sabe se a vaga de 2 de novembro usou as mesmas falhas. Mas o próprio Moelans deu uma pista: disse que, desde o ataque em França, a empresa trabalhava para proteger os equipamentos dos clientes «contra esta vulnerabilidade», que exige alterações físicas e não apenas uma atualização de software, e que a solução mais simples é gerir os frigoríficos através de uma ligação segura à Internet.

Porque é que isto diz respeito à sua empresa

O problema não são os frigoríficos. É um equipamento que alguém pôs na Internet para poder ser gerido à distância e de que depois ninguém tratou. Ken Munro, da Pen Test Partners, disse à CNN que não havia necessidade de negócio para os controladores estarem acessíveis na Internet pública e que a gestão foi provavelmente entregue a terceiros que pouco pensaram na segurança.

Numa PME portuguesa, o equivalente pode ser o gravador das câmaras de videovigilância, a central de alarme, o ar condicionado, o router com acesso remoto ligado, o painel de gestão de um servidor, a impressora de rede ou o programa de acesso remoto que o técnico instalou há anos. Muitas vezes nem a empresa sabe que estes equipamentos estão visíveis a partir da Internet.

O que rever esta semana

1. Faça a lista. Escreva todos os equipamentos e serviços ligados à rede da empresa que alguém gere à distância: câmaras, alarmes, climatização, refrigeração, routers, servidores, terminais de pagamento e programas de acesso remoto.
2. Pergunte a cada fornecedor como se liga. A resposta certa é por uma ligação segura (VPN ou equivalente) e não por uma página de gestão aberta na Internet. Pergunte também quem tem as credenciais e se ainda são as de origem.
3. Confirme se o equipamento ainda recebe atualizações. Os casos em França mostram que o risco maior está nos modelos descontinuados. Se o fabricante já não dá suporte, planeie a substituição ou isole o equipamento da Internet.
4. Feche o que não precisa de estar aberto. Portas reencaminhadas no router e acessos remotos que ninguém usa devem ser desligados.
5. Tenha alarmes que avisem fora de horas. Na Suécia, o ataque das 2h só foi notado horas depois. Um alerta por SMS ou email quando algo sai do normal pode reduzir o prejuízo.
6. Ponha a segurança nos contratos. Munro sugere que as administrações façam perguntas difíceis aos fornecedores. Se é o seu caso, a NIS2 vai no mesmo sentido, como explicamos em O meu cliente está na NIS2: o que me vai pedir.

E prepare-se para o pior cenário: saber quem liga a quem, o que se desliga primeiro e como se comunica com os clientes. Temos um guia sobre o plano de resposta que a empresa deve ter antes de precisar dele e outro sobre o que fazer nas primeiras horas quando o problema é o site.

E o site da empresa?

O site é, muitas vezes, o equipamento da empresa mais exposto à Internet, e segue a mesma regra: painéis de administração acessíveis a qualquer pessoa, software desatualizado e acessos de antigos fornecedores que nunca foram retirados. Pode começar por uma verificação rápida e gratuita em audit.marcaweb.pt, que mostra uma nota de segurança e o que corrigir. Explicamos como ler o resultado em Auditoria gratuita ao site: o que significa a nota e o que corrigir.

Os ataques aos supermercados ainda estão a ser investigados e os números podem mudar. A conclusão, essa, já é clara: um equipamento esquecido na Internet pode parar um negócio inteiro durante uma noite.