Atacantes assumiram o controle remoto de geladeiras e freezers de centenas de supermercados franceses na noite de 11 de outubro e os aqueceram, forçando as lojas a descartar alimentos, segundo várias redes varejistas.
Os invasores chegaram aos equipamentos por meio do controlador que gerencia todas as geladeiras e freezers de uma loja, um dispositivo fabricado pela empresa dinamarquesa Danfoss, que empresas de manutenção podem administrar remotamente. A Les Mousquetaires, dona da rede Intermarché, afirmou que suas geladeiras e freezers foram colocados em descongelamento e aquecidos a até 50°C.
O CERT-FR (equipe de resposta a emergências informáticas do governo francês) afirmou, em um alerta publicado em francês em 12 de outubro, que tem conhecimento de inúmeros comprometimentos que afetam duas séries de controladores da Danfoss, a AK-SM e a AK-SC. A orientação aos operadores foi desconectar os controladores ou filtrar o acesso a eles.
O CERT-FR faz parte da ANSSI (Agência Nacional de Segurança dos Sistemas de Informação da França), agência nacional de cibersegurança do país. O chefe da ANSSI, Vincent Strubel, considerou urgente retirar as duas séries da internet ou filtrar o acesso a elas de forma muito rigorosa, informou a Agence France-Presse (AFP).
Até agora, nem as autoridades francesas nem a Danfoss disseram quem realizou o ataque ou como os invasores conseguiram entrar nos controladores. A Danfoss afirmou que a maioria das unidades atingidas eram modelos mais antigos, que a empresa não atualiza mais.
Quais redes foram atingidas
As redes forneceram seus próprios números à AFP, à Reuters e à emissora RTL. Cada uma contabiliza as lojas que foram alcançadas pelo ataque.
Nem toda loja da lista perdeu necessariamente seu estoque. Schelcher disse à RTL que a cadeia de frio se manteve na maioria das 80 lojas da Coopérative U atingidas e que apenas uma minoria não conseguiu reagir com rapidez suficiente e perdeu mercadorias, segundo a AFP. Ele elogiou a reação rápida dos funcionários das lojas e dos técnicos de refrigeração.
Já a Intermarché afirmou que suas lojas afetadas precisaram descartar todos os produtos envolvidos.
Thierry Cotillard, que dirige a Les Mousquetaires, disse à emissora BFMTV que espera perdas de dezenas de milhões de euros em toda a França, segundo a Reuters.
Em seus comunicados de 12 de outubro, a Danfoss não informou quantos sistemas foram atingidos. À Reuters, a empresa disse estar "ciente de incidentes na França que afetam um número limitado de sistemas de gerenciamento de refrigeração".
Quais controladores são afetados e se podem ser corrigidos
A Danfoss informou à AFP que a maioria das unidades atingidas eram produtos antigos que não recebem mais atualizações de software ou de segurança, e citou dois deles: o AK-SM 800 e o AK-SC 355.
A Danfoss declarou o fim da vida útil do AK-SM 800 em maio de 2021 e descontinuou o AK-SC 355 em 2016. Em uma newsletter de outubro de 2025, a empresa disse que encerraria todos os serviços para esses produtos antigos e recomendou que os clientes planejassem a substituição.
Algumas unidades do modelo atual, o AK-SM 800A, também foram atingidas. Elas executavam firmware desatualizado, segundo declaração da Danfoss à publicação especializada Cooling Post, que não especificou as versões.
Até 13 de outubro, a página de avisos de segurança da Danfoss não listava nenhum aviso sobre o ataque nem sobre qualquer um dos dois modelos antigos.
O que os operadores devem fazer
A primeira orientação do CERT-FR vale para todos os controladores AK-SM e AK-SC: desconectá-los ou filtrar o acesso a eles. Expor uma interface de gerenciamento à internet contraria as boas práticas, diz o alerta.
Quando a administração remota não puder ser evitada, limitar o acesso a endereços IP (IP, protocolo de internet) confiáveis é um primeiro passo, temporário. Além disso, o alerta recomenda seguir as recomendações de endurecimento de segurança do CERT-FR, escritas para o setor de energia e água.
Quando um controlador puder ter sido comprometido, o alerta lista seis etapas, nesta ordem:
- Limitar o acesso de rede aos controladores apenas a prestadores de serviço.
- Realizar uma redefinição de fábrica.
- Aplicar todas as correções de segurança disponíveis.
- Trocar os segredos do dispositivo, como senhas.
- Verificar as contas existentes.
- Reconfigurar o dispositivo por completo.
A Danfoss não emite mais correções para o AK-SM 800 e o AK-SC 355, portanto a terceira etapa não oferece aos proprietários nenhuma correção nova.
No caso do AK-SM 800A, o pacote de software mais recente listado pela Danfoss em 13 de outubro era o 5.3.x. Um sistema na versão 3.x deve migrar primeiro para a 4.x, e um controlador não pode ser revertido para uma versão anterior depois de passar a executar a 5.3.x, segundo o arquivo readme do pacote.
A partir da versão 4.0, uma configuração chamada Strict Session Control vem ativada por padrão e torna obrigatório o HTTPS (protocolo HTTP seguro). As páginas da Danfoss não informam se o pacote 5.3.x foi lançado em resposta ao ataque.
A Danfoss disse à Cooling Post que trabalha com os clientes em "atualizações de firmware onde disponíveis, proteções de rede mais robustas e remoção da exposição direta à internet onde aplicável".
Sua orientação geral de segurança, publicada em francês, também recomenda manter os controladores inacessíveis pela internet, alterar as senhas padrão na instalação do sistema e exigir que usuários remotos façam login por um único ponto de acesso gerenciado.
Até 13 de outubro, o CERT-FR não havia publicado indicadores de comprometimento, portanto os operadores não têm sinais oficiais para verificar.
As lojas da Coopérative U não compram diretamente da Danfoss. Elas são clientes de técnicos de refrigeração que fornecem o sistema da Danfoss, disse Schelcher.
Como os invasores entraram ainda não foi esclarecido
Até 13 de outubro, o CERT-FR não havia identificado nenhuma vulnerabilidade, nenhuma versão de firmware e nenhuma via de acesso. Seu alerta adverte contra a exposição de interfaces de gerenciamento à internet, mas não afirma que essa tenha sido a rota usada.
Uma pessoa próxima ao primeiro-ministro francês, Sébastien Lecornu, disse à AFP que a ANSSI identificou uma vulnerabilidade em um software fornecido por uma empresa dinamarquesa e entrou em contato com o fornecedor. Nenhum CVE (Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades) foi citado, e a declaração não diz que a falha foi usada no ataque.
A E.Leclerc informou à AFP que um ataque cibernético afetou um de seus fornecedores de equipamentos de refrigeração, com efeitos sobre equipamentos de frio em várias de suas lojas. O fornecedor não foi identificado.
A Danfoss corrigiu, em 2025, três falhas do AK-SM 800A, modelo mais novo. Nem as autoridades francesas nem a Danfoss as relacionaram a este ataque.
A CVE-2025-41450 é uma falha de contorno de autenticação, ou seja, uma forma de passar pelo login sem credenciais válidas, nas versões anteriores à 4.2. A CVE-2025-41451 é uma falha de injeção de comandos que pode levar à execução remota de código, e a CVE-2025-41452 poderia permitir um ataque de negação de serviço. Ambas exigem autenticação e foram corrigidas na versão 4.3.1.
Pesquisadores da Claroty descreveram as três falhas em agosto, afirmaram que elas podiam ser combinadas em cadeias de ataque e relataram ter encontrado milhares de interfaces de gerenciamento do AK-SM 800A acessíveis pela internet. Seus testes das falhas foram trabalhos de laboratório sobre o modelo mais novo. O relatório não descreve ataques e não menciona os dois modelos antigos.
A newsletter da Danfoss de outubro de 2025 registra ataques anteriores ao AK-SM 800: 16 supermercados russos que usavam o modelo foram alvo em 2022, e 40 lojas israelenses foram invadidas no mesmo ano. Todas as 40 não tinham proteção adequada de firewall ou de VPN (rede privada virtual), e a newsletter não cita nenhuma vulnerabilidade em nenhum dos casos.
O inquérito e os relatos de outros países
A procuradoria de Paris abriu um inquérito por iniciativa própria, informou à AFP. Sua seção de crimes cibernéticos conduz a investigação, que foi atribuída ao escritório anticibercrime conhecido como OFAC (Escritório Anticibercrime).
A investigação deve contabilizar as vítimas e estabelecer a relação entre o ataque e os prejuízos relatados por elas, que incluem alimentos e equipamentos perdidos que começaram a pegar fogo.
A ANSSI está em contato com agências de cibersegurança de outros países europeus porque esses países podem ser afetados, disse a pessoa próxima ao primeiro-ministro.
Félix Aimé, analista sênior de inteligência de ameaças da Sekoia, disse à Reuters que Espanha, Portugal, Polônia, Alemanha e Bélgica também foram afetados. A Reuters não deu detalhes sobre esses casos.
