Cliente em um supermercado em Estocolmo, na Suécia, em 16 de janeiro de 2024. (Xinhua/Fu Yiming)

O Centro Nacional de Cibersegurança (NCSC, na sigla em inglês) do Reino Unido orientou, em agosto, que as organizações identifiquem seus ativos de tecnologia operacional (OT, na sigla em inglês) e conexões externas, garantindo que os dispositivos de controle não fiquem diretamente acessíveis pela internet pública. O órgão também recomendou a substituição de credenciais padrão e o uso de autenticação multifator, sempre que possível.

Londres, 3 nov (Xinhua) -- Recentemente, diversos ciberataques contra sistemas de refri geração de supermercados na Europa forçaram varejistas a retirar produtos alimentícios de circulação, evidenciando como fragilidades em equipamentos conectados podem impactar o cotidiano.

Os incidentes levantaram questões sobre por que equipamentos de uso comum estão conectados à internet, o que os torna vulneráveis ​​e como empresas e consumidores podem mitigar esses riscos.

POR QUE OS SISTEMAS DE REFRIGERAÇÃO DE SUPERMERCADOS SÃO UM ALVO?

Sistemas de refrigeração em 13 lojas da rede SuperValu, na Irlanda, foram afetados por um incidente cibernético. Um supermercado sueco informou que as temperaturas de suas geladeiras e freezers haviam sido ajustadas para 50 graus Celsius, segundo o canal britânico Sky News, na segunda-feira. Ocorrências semelhantes foram registradas em outras partes da Europa.

Essas interrupções ocorreram após ataques a centenas de supermercados na França, em outubro, que levaram a promotoria de Paris a abrir uma investigação.

Clientes escolhem foie gras em um supermercado em Paris, na França, em 24 de dezembro de 2024. (Xinhua/Gao Jing)

Richard Horne, chefe do Centro Nacional de Cibersegurança do Reino Unido, declarou à estação de rádio britânica BBC Radio 4, na terça-feira, que ainda é cedo para determinar a autoria dos ataques mais recentes.

Sistemas de refrigeração comercial utilizam controladores que permitem aos operadores monitorar equipamentos, ajustar temperaturas e realizar manutenções remotamente. Uma única plataforma de gerenciamento pode coordenar diversas unidades, facilitando o controle da refrigeração em um estabelecimento.

Uma pesquisa publicada em agosto pela empresa de cibersegurança Claroty descreveu um sistema de gerenciamento de refrigeração que permite aos operadores monitorar várias unidades, ajustar configurações de temperatura e verificar alarmes por meio de uma única interface web. O sistema também possibilita a manutenção remota, reduzindo a necessidade de deslocamento de técnicos a cada local.

Essas mesmas funcionalidades podem se tornar um meio de causar transtornos caso um invasor obtenha acesso não autorizado. A Sky News citou Stephan Moelans, diretor-executivo da empresa belga de refrigeração Sabcobel, dizendo que o incidente mais recente envolveu a ativação do modo de degelo dos evaporadores das unidades.

O setor de varejo alimentício é particularmente sensível a interrupções, uma vez que seus produtos são perecíveis.

Pesquisadores do Vedere Labs, laboratório da empresa de cibersegurança Forescout, disseram, em uma análise publicada em outubro, que invasores poderiam utilizar indevidamente controles legítimos de refrigeração para provocar danos físicos e prejuízos financeiros, mesmo sem recorrer a malwares destrutivos.

Cliente faz compras em um supermercado em Bruxelas, na Bélgica, em 31 de maio de 2024. (Xinhua/Zhao Dingzhe)

O QUE TORNA OS DISPOSITIVOS CONECTADOS VULNERÁVEIS?

A Internet das Coisas (IoT, na sigla em inglês) confere conectividade de rede a dispositivos físicos, permitindo que eles coletem e troquem informações. Um documento de orientação da University College London (UCL) explica como essa conectividade se estende a produtos do cotidiano, incluindo câmeras, televisores e eletrodomésticos.

Os sistemas de controle de refrigeração comercial também envolvem tecnologia operacional (OT, na sigla em inglês). O Departamento de Ciência, Inovação e Tecnologia do Reino Unido define a OT como hardware e software programáveis ​​utilizados para monitorar, controlar e gerenciar operações industriais. A segurança desses sistemas é fundamental, pois alterações não autorizadas podem afetar o funcionamento real dos equipamentos.

Um estudo publicado pelo departamento em dezembro de 2025 identificou vulnerabilidades que incluem equipamentos obsoletos, gestão de ativos inadequada e riscos relacionados a fornecedores terceirizados.

Com base em entrevistas com 30 pessoas e na análise de pesquisas e relatórios existentes, o estudo constatou que alguns sistemas de OT, em uso há muito tempo, nunca foram projetados para um ambiente conectado à internet. Conectá-los a redes corporativas para fins de monitoramento e gerenciamento pode criar brechas para invasores.

Expor páginas de gerenciamento à internet pública e não realizar a instalação de atualizações de segurança pode deixar dispositivos conectados vulneráveis ​​a ataques.

Pesquisadores da Claroty descobriram que alguns sistemas de refrigeração possuíam páginas de gerenciamento acessíveis diretamente pela internet. Eles também identificaram falhas de segurança em determinados controladores de refrigeração. O fabricante disponibilizou uma atualização de software para corrigir essas falhas, mas é necessário que os operadores a instalem nos dispositivos afetados. Ainda não foi confirmado se essas vulnerabilidades foram exploradas nos ataques mais recentes.

As consequências variam de acordo com o dispositivo e o tipo de acesso obtido. O relatório da UCL observa que dispositivos de consumo vulneráveis ​​podem expor informações pessoais ou ser utilizados em ataques de negação de serviço distribuído, que sobrecarregam sites ou serviços online.

Na refrigeração, a violação dos controles pode comprometer a cadeia de frio, responsável por manter os alimentos perecíveis em temperaturas controladas durante o armazenamento e o transporte.

O Relatório de Segurança Alimentar de 2024 do Reino Unido alertou que ataques cibernéticos podem interferir na compra, no transporte e na venda de mercadorias, inclusive por meio de setores interconectados, como os de energia e água.

COMO OS RISCOS PODEM SER REDUZIDOS?

As empresas precisam, primeiramente, saber quais dispositivos utilizam, como eles se conectam e quem tem acesso a eles.

O Centro Nacional de Cibersegurança do Reino Unido (NCSC, na sigla em inglês) orientou as organizações, em agosto, a identificarem seus ativos de OT e conexões externas, garantindo que os dispositivos de controle não fiquem diretamente acessíveis pela internet pública. O órgão também recomendou a substituição de credenciais padrão e o uso de autenticação multifator, sempre que houver suporte para tal.

As diretrizes do NCSC recomendam separar os sistemas de controle das redes corporativas, a fim de limitar a capacidade de um invasor de se deslocar entre elas. Monitorar conexões incomuns e alterações nas configurações pode ajudar a identificar problemas, enquanto backups testados e planos de recuperação auxiliam no restabelecimento das operações.

A equipe de resposta a incidentes cibernéticos da França, CERT-FR, emitiu recomendações semelhantes após os ataques ocorridos em outubro, sugerindo o uso de conexões remotas protegidas, a verificação de configurações e a atualização de firmware. O órgão alertou que simplesmente restaurar as configurações de fábrica não protegeria equipamentos sem suporte contra novas invasões, caso eles continuassem expostos à internet.

Os fabricantes também desempenham um papel fundamental ao facilitar a denúncia de falhas e oferecer suporte relacionado à segurança.

Um relatório publicado em janeiro pela IoT Security Foundation revelou que, dos 491 fabricantes de dispositivos IoT para o consumidor analisados ​​em seu estudo de 2025, apenas 199 disponibilizavam um canal para que pesquisadores de segurança pudessem relatar falhas. O estudo verificou apenas a existência desses canais de denúncia, sem avaliar se os produtos eram, de fato, seguros.

Segundo as diretrizes do governo britânico, o regime de segurança para produtos conectados destinados ao consumidor, em vigor desde abril de 2024, exige que as senhas sejam exclusivas para cada produto ou definidas pelo próprio usuário. Os fabricantes também devem divulgar informações sobre como relatar vulnerabilidades e informar o período mínimo durante o qual fornecerão atualizações de segurança.

Cliente faz compras em um supermercado em Liverpool, no Reino Unido, em 22 de junho de 2023. (Foto de Jon Super/Xinhua)

Estes são requisitos básicos para produtos abrangidos pelo regime voltado ao consumidor. Não se deve presumir que essas exigências cubram todos os controladores de refrigeração comercial.

Para as residências, o NCSC recomenda instalar atualizações prontamente, ativar a verificação em duas etapas, sempre que disponível, e desativar o acesso remoto quando este não for necessário. Os consumidores também devem verificar por quanto tempo o fabricante oferecerá suporte a um dispositivo.

A orientação aponta para uma responsabilidade contínua: equipamentos conectados exigem manutenção de segurança durante todo o período em que permanecerem em uso.