Investigação da Bitsight identifica 975 observações credíveis de controladores de refrigeração acessíveis a partir da Internet, depois de remover falsos resultados associados a sistemas de monitorização. Em Portugal, foram identificados 16 equipamentos acessíveis a 3 de Novembro, contra 30 em meados de Outubro.

Os ataques informáticos a sistemas de refrigeração de supermercados, registados em vários países europeus nas últimas semanas, voltaram a chamar a atenção para a exposição de equipamentos de tecnologia operacional (OT) à Internet. Uma investigação da Bitsight, conduzida por Pedro Umbelino, Technical Lead da empresa, analisou a presença online de controladores de refrigeração da Danfoss e concluiu que, apesar de uma redução no número de equipamentos acessíveis, continuam a existir sistemas vulneráveis que podem comprometer as operações das lojas.

A análise surge na sequência de duas vagas de ataques. Na noite de 11 para 12 de Outubro, centenas de supermercados franceses foram afectados por uma intrusão nos sistemas de refrigeração, que levou à alteração das configurações dos equipamentos e ao aumento das temperaturas dos congeladores e frigoríficos para valores próximos dos 50 °C. Os incidentes provocaram a perda de produtos alimentares e motivaram a abertura de uma investigação pelas autoridades francesas.

A 2 de Novembro, uma nova vaga de ataques atingiu estabelecimentos comerciais em vários países europeus, incluindo Suécia, Países Baixos, Bélgica, Irlanda, Luxemburgo, Estónia e Finlândia. Entre os grupos afectados estiveram Delhaize, Colruyt, ICA e Coop. Em Portugal, sete lojas Intermarché foram atingidas, tendo sido registadas perdas de produtos em três estabelecimentos. Segundo a informação divulgada pelo grupo, o ataque terá visado uma empresa externa responsável pela gestão dos sistemas de refrigeração.

Embora não tenha sido publicamente confirmado o método de acesso utilizado pelos atacantes, a investigação da Bitsight aponta para a possibilidade de exploração de uma vulnerabilidade de autenticação nos controladores. O problema já tinha sido documentado em 2023, permitindo, em determinadas condições, contornar a validação habitual de credenciais.

Mais resultados não significam mais equipamentos expostos

Depois dos primeiros ataques, a equipa Bitsight TRACE procurou determinar quantos controladores de refrigeração da Danfoss permaneciam acessíveis a partir da Internet. A pesquisa inicial, realizada em Outubro, identificou 2.166 resultados. A 3 de Novembro, o mesmo tipo de pesquisa devolveu 4.004 resultados, quase o dobro.

No entanto, Pedro Umbelino alerta que este aumento não corresponde a uma duplicação dos equipamentos expostos. Grande parte dos resultados adicionais estava associada a honeypots, sistemas concebidos para simular serviços ou equipamentos vulneráveis e observar tentativas de acesso. Estes sistemas foram criados por investigadores após os ataques, o que acabou por inflacionar os números obtidos através das ferramentas de pesquisa.

Depois de excluir os resultados considerados falsos, incluindo os honeypots identificados, a investigação apurou 975 observações credíveis, contra 1.427 em meados de Outubro. A redução representa cerca de 32%.

A análise sublinha ainda uma distinção importante: uma observação numa ferramenta de pesquisa não corresponde necessariamente a um equipamento físico. O mesmo controlador pode responder através de vários endereços ou portas, enquanto equipamentos ligados através de redes móveis podem mudar frequentemente de endereço IP. Por esse motivo, a contagem de resultados não permite, por si só, determinar o número exacto de sistemas existentes e acessíveis.

A equipa esclarece que a investigação se limitou à observação de páginas de autenticação publicamente acessíveis e, no caso português, de versões de firmware que podiam ser consultadas sem autenticação. Não foram realizados acessos aos equipamentos, testes de intrusão ou alterações às respectivas configurações.

Portugal: 16 controladores acessíveis a 3 de Novembro

O caso português mereceu uma análise mais aprofundada. Os dados recolhidos inicialmente apontavam para um número elevado de equipamentos, chegando algumas estimativas externas a sugerir a existência de 140 frigoríficos expostos à Internet. Contudo, a investigação da Bitsight concluiu que estes números estavam inflacionados, em particular devido à utilização de ligações móveis.

Em meados de Outubro, 88% das observações portuguesas identificadas estavam associadas a intervalos de endereços pertencentes a operadores móveis. Na prática, muitos destes equipamentos encontram-se ligados através de pequenos routers 4G ou LTE instalados nas lojas. Quando a ligação de dados é reiniciada, o endereço IP público pode mudar, fazendo com que o mesmo controlador seja contabilizado várias vezes nas pesquisas.

Através de verificações directas, a Bitsight identificou 30 controladores acessíveis em Portugal em meados de Outubro. A 3 de Novembro, esse número tinha descido para 16: sete ligados através de redes móveis e nove através de outras ligações.

Apesar da redução, Pedro Umbelino ressalva que não é possível concluir que todos os equipamentos que deixaram de aparecer nas pesquisas tenham sido efectivamente protegidos. A alteração dos endereços IP pode explicar parte das diferenças, sobretudo nas ligações móveis. A investigação identificou, ainda assim, dois controladores anteriormente acessíveis através de endereços estáticos que deixaram de responder às verificações.

A conclusão é que os dados de exposição devem ser interpretados com cuidado. Uma redução no número de resultados não significa necessariamente que todas as vulnerabilidades tenham sido corrigidas ou que os equipamentos tenham deixado de estar acessíveis.

Uma responsabilidade que envolve fabricantes, operadores e prestadores de serviços

Um dos aspectos destacados pela investigação é a forma como estes equipamentos estão ligados à Internet. Na maioria dos casos analisados, os controladores não se encontram directamente nas redes corporativas dos grupos de distribuição. Estão instalados em lojas individuais e ligados através de serviços de Internet empresariais ou de ligações móveis, com interfaces de gestão acessíveis a partir do exterior.

Esta configuração dificulta a resposta. Ao contrário de uma vulnerabilidade concentrada numa rede central, a exposição está distribuída por numerosos estabelecimentos, ligações e equipamentos. A resolução do problema exige, por isso, a articulação entre os retalhistas, os fabricantes, as empresas responsáveis pela instalação e manutenção dos sistemas e os operadores de telecomunicações.

Pedro Umbelino considera que os fornecedores de acesso à Internet podem desempenhar um papel importante neste processo. Os operadores são, em muitos casos, as entidades que conseguem associar um endereço IP a um cliente concreto, incluindo quando se trata de ligações móveis cujos endereços mudam frequentemente.

Entre as medidas apontadas pela investigação estão a monitorização de interfaces OT expostas, a criação de mecanismos para receber comunicações de investigadores e equipas nacionais de resposta a incidentes, bem como a notificação dos clientes empresariais sempre que sejam identificados equipamentos de tecnologia operacional acessíveis de forma insegura.

Esta intervenção não substitui as responsabilidades dos proprietários dos equipamentos, dos fabricantes ou das empresas de manutenção, mas pode facilitar a identificação dos sistemas afectados e acelerar a comunicação com os respectivos responsáveis.

A protecção dos equipamentos não pode ficar para segundo plano

A investigação recomenda que os responsáveis por sistemas de refrigeração garantam que as interfaces de gestão não estão directamente acessíveis a partir da Internet, seja através de ligações fixas, seja através de routers 4G. A remoção de encaminhamentos de portas, a utilização de acessos remotos seguros ou de redes privadas virtuais (VPN), a alteração de credenciais predefinidas e a aplicação de actualizações disponibilizadas pelos fabricantes são algumas das medidas identificadas.

Para as empresas responsáveis pela manutenção, torna-se igualmente necessário rever quem pode aceder aos equipamentos dos clientes, a partir de que redes e com que credenciais. Já os operadores de telecomunicações podem contribuir para identificar os clientes associados a ligações expostas e encaminhar os alertas para as entidades responsáveis.

O impacto destes incidentes ultrapassa, contudo, a perda de mercadoria ou a interrupção da actividade comercial. Os sistemas de refrigeração são essenciais à conservação de alimentos e de outros produtos que exigem controlo de temperatura. A investigação da Bitsight chama também a atenção para ataques recentes a sistemas de refrigeração de bancos de sangue em França, demonstrando que os riscos associados a estes equipamentos podem ter consequências para além do sector do retalho.

Na conclusão da análise, Pedro Umbelino destaca que, embora o número de controladores acessíveis tenha diminuído em vários países, muitos continuavam expostos na noite da segunda vaga de ataques. A redução da exposição é um sinal positivo, mas não elimina o problema: a segurança dos equipamentos de tecnologia operacional exige uma resposta coordenada e uma intervenção mais rápida sobre sistemas que, apesar de essenciais à operação das lojas, nem sempre são considerados parte integrante da superfície de ataque das organizações.

Fonte: Pedro Umbelino, Technical Lead da Bitsight, «On Supermarket Fridges and the Art of Counting», publicado a 4 de Novembro de 2026.