Hackers forçam descongelação em supermercados franceses

Durante a noite de domingo, 11, para segunda-feira, 12 de outubro, intrusos acederam aos computadores que controlam a refrigeração dos supermercados franceses. Quando chegaram, os funcionários encontraram produtos frescos e congelados que já não podiam vender (Euronews). A Intermarché e a sua cadeia irmã Netto contabilizaram, só por si, pelo menos 300 lojas afetadas (AFP via TV5Monde), mas ainda ninguém explicou publicamente como entraram os atacantes.

Como se manda aquecer um frigorífico

Um grande supermercado tem dezenas de vitrinas refrigeradas e congeladores, coordenados por um computador de supervisão. A Danfoss, fabricante dinamarquesa dos controladores afetados, descreve os seus «gestores de sistema» AK-SM como o ponto onde os técnicos alteram definições, horários e alarmes, também à distância, através de um navegador de internet (Danfoss). É como um painel central de temperatura para toda a loja, a que um técnico de manutenção pode aceder remotamente.

Uma das rotinas controladas por esse painel é a descongelação. As serpentinas de refrigeração — os tubos metálicos frios dentro de cada vitrina — vão acumulando gelo. O sistema aquece-as por breves instantes para o derreter, como acontece ao descongelar um congelador doméstico, mas de forma automática e rápida.

Os retalhistas afirmaram que os intrusos forçaram esse ciclo em todo o equipamento, com temperaturas programadas que, segundo relatos, chegaram aos 50 °C (BFMTV). Esse valor é uma instrução introduzida no controlador: indica a temperatura que o sistema de aquecimento deve atingir na serpentina, não a que um pacote de frango na prateleira alcançou efetivamente.

Para a segurança dos alimentos, a duração da interrupção da refrigeração é mais relevante. O grupo Les Mousquetaires, dono da Intermarché, disse à Reuters que o equipamento de um primeiro grupo de cerca de 150 lojas ficou sem refrigeração durante aproximadamente seis horas (Reuters via Boursorama). Depois de tanto tempo, a loja deixa de poder garantir as condições a que os produtos estiveram expostos, pelo que o stock é descartado. Thierry Cotillard, presidente do grupo, estimou as perdas em dezenas de milhões de euros num só dia (BFMTV); trata-se de uma estimativa inicial, ainda sem contas auditadas.

Centenas de lojas, sem um total fiável

O número de lojas afetadas continuou a aumentar ao longo de segunda-feira. Uma notícia posterior da AFP apontou para mais de 100 lojas da Coopérative U atingidas (AFP). A Carrefour disse à Reuters que o ataque chegou a 80 lojas, enquanto na Monoprix afetou cerca de 5% das suas aproximadamente 490 lojas (Reuters).

A E.Leclerc confirmou problemas em várias lojas na sequência de um ataque a um fornecedor de refrigeração, e a Metro disse que um prestador externo tinha sido atacado. Nenhuma das duas indicou quantas lojas foram afetadas (Le Monde). Com algumas cadeias sem divulgar números e outras a revê-los ao longo do dia, ainda não existe um total nacional fiável.

A porta de entrada continua por identificar

A equipa francesa de resposta a emergências informáticas, CERT-FR, deu conta de numerosos controladores Danfoss AK-SM e AK-SC comprometidos. Alertou que deixar os respetivos ecrãs de gestão acessíveis através da internet pública contraria as boas práticas de segurança (CERT-FR).

A Danfoss disse que a maioria das unidades afetadas eram modelos antigos, que já não recebem atualizações de segurança. Entre os modelos mais recentes atingidos, o software incorporado, conhecido como firmware, estava desatualizado (Cooling Post). A empresa disse à agência dinamarquesa Ritzau que os seus próprios sistemas informáticos não foram afetados (Ritzau via DKNyt).

Investigadores de segurança já tinham estudado este equipamento. A equipa Team82, da Claroty, mostrou como falhas num modelo de controlador Danfoss poderiam permitir a um atacante interferir com a refrigeração; numa pesquisa, encontrou 2 765 ecrãs de gestão deste tipo acessíveis pela internet (Claroty Team82). Não há fontes públicas que indiquem que essas falhas específicas tenham sido exploradas em França.

O Ministério Público de Paris abriu um inquérito para contabilizar as vítimas e determinar se os alimentos estragados e os incêndios noticiados resultaram do ataque (France 24/AFP). Segundo uma fonte próxima do primeiro-ministro, a agência nacional de cibersegurança, ANSSI, terá identificado uma vulnerabilidade no software do fornecedor dinamarquês e está a procurar outras empresas francesas expostas (Franceinfo).

Os danos já são visíveis nas prateleiras de centenas de lojas. A via de entrada continua por demonstrar, e cabe ao Ministério Público de Paris e à ANSSI apurá-la. Até serem divulgados os resultados, qualquer loja que utilize estes controladores tem motivos para verificar se o seu painel pode ser acedido a partir do exterior.