Do congelador de supermercados à crise social: o alcance inesperado dos ataques cibernéticos
Uma vulnerabilidade na tecnologia de um fornecedor, uma falha em seus mecanismos de autenticação ou um acesso remoto inadequadamente protegido pode comprometer simultaneamente as operações de diferentes empresas. A segurança cibernética, portanto, precisa considerar a segurança dos produtos, serviços e conexões digitais dos terceiros dos quais ela depende.
Na madrugada de 12 de outubro, centenas de supermercados franceses descobriram que seus sistemas de refrigeração haviam sido transformados em fontes de prejuízo. Em um ataque cibernético de grandes proporções, hackers manipularam remotamente equipamentos para elevar a temperatura de câmaras frias e congeladores a até 50 °C. O resultado foi a perda de toneladas de alimentos, danos materiais e incêndios em estabelecimentos de diferentes redes, incluindo Carrefour, Intermarché, Monoprix e outras grandes varejistas. As autoridades francesas abriram uma investigação, enquanto especialistas identificaram vulnerabilidades em sistemas de gerenciamento de refrigeração conectados à internet. Os responsáveis e suas motivações, entretanto, não haviam sido identificados.
Até que, nas primeiras horas do dia de 2 de novembro, uma nova onda de ataques cibernéticos atingiu sistemas de refrigeração de supermercados na Bélgica, Suécia e Irlanda, além de registros em outros países europeus. Na Bélgica, dezenas de estabelecimentos de redes como Delhaize, Carrefour, Intermarché e Spar foram afetados, levando à elevação da temperatura de câmaras frias e congeladores e à perda de produtos das prateleiras. Na Suécia, unidades das redes ICA e Coop também sofreram alterações não autorizadas nos sistemas de refrigeração, com temperaturas que chegaram a 50 °C em alguns equipamentos. Na Irlanda, 13 lojas da rede SuperValu tiveram seus sistemas comprometidos, exigindo a remoção preventiva de alimentos refrigerados e congelados. As ocorrências também foram registradas em Luxemburgo, Holanda e Estônia, entre outros países. Na Bélgica, a Procuradoria Federal abriu investigação, enquanto autoridades de segurança cibernética passaram a acompanhar os incidentes. Embora ainda não haja confirmação de que todos os episódios tenham sido coordenados pelos mesmos agentes, a repetição do método e a proximidade temporal com o ataque francês reforçam a preocupação com a exploração de vulnerabilidades em sistemas de refrigeração conectados à internet.
Esses acontecimentos nos levam a um assunto já discutido nesta coluna em algumas ocasiões: o risco cibernético às infraestruturas críticas. Imaginem o mesmo mecanismo aplicado a sistemas de refrigeração de cargas farmacêuticas, instalações portuárias, centros de distribuição ou terminais logísticos. Uma alteração remota de parâmetros pode comprometer mercadorias, interromper operações, gerar perdas contratuais e afetar o abastecimento de mercados inteiros. Em ambientes altamente conectados, um incidente aparentemente localizado pode produzir efeitos em cascata.
Mas o problema revela, ainda, uma outra nuance: a dos riscos existentes na cadeia de suprimentos. Isso porque os sistemas de refrigeração comercial frequentemente dependem de equipamentos, softwares e plataformas de gerenciamento desenvolvidos ou operados por fornecedores externos, que podem ter acesso remoto à infraestrutura de seus clientes para realizar manutenção, monitoramento e ajustes técnicos. Nesse cenário, uma vulnerabilidade na tecnologia de um fornecedor, uma falha em seus mecanismos de autenticação ou um acesso remoto inadequadamente protegido pode comprometer simultaneamente as operações de diferentes empresas. A segurança cibernética, portanto, precisa considerar a segurança dos produtos, serviços e conexões digitais dos terceiros dos quais ela depende.
De modo que devem as empresas incorporar a avaliação de riscos cibernéticos aos seus processos de contratação e gestão de fornecedores. Quando sistemas essenciais à operação empresarial são administrados remotamente por terceiros, não basta avaliar a qualidade técnica do serviço contratado ou sua eficiência operacional. É necessário verificar se o fornecedor adota controles adequados de segurança, como gerencia vulnerabilidades, protege seus mecanismos de acesso remoto e mantém procedimentos de atualização e resposta a incidentes. Essa preocupação deve alcançar, inclusive, os subcontratados que possam ter acesso à infraestrutura tecnológica e acompanhar toda a relação comercial, especialmente quando o fornecedor tem acesso a sistemas críticos ou dados relevantes para a operação. Esse procedimento já tem nomenclatura – e estrutura – própria e é cada vez mais utilizado em negócios B2B: é o Third-Party Cybersecurity Risk Management Clauses (Cláusulas de Gerenciamento de Riscos Cibernéticos de Terceiros).
Vale, também, refletir sobre a motivação da ação a partir dos seus desdobramentos: a crise gerada pelo episódio, com países recomendando à população que estocasse alimentos, evidencia como ataques dessa natureza podem produzir efeitos que ultrapassam os sistemas diretamente atingidos, alimentando o medo e a insegurança coletiva. Seria esse, afinal, um dos objetivos de ataques coordenados dessa natureza? Mais do que interromper operações comerciais, provocar instabilidade social, abalar a confiança nas instituições e gerar um sentimento de vulnerabilidade na população? Isso porque a destruição de alimentos e a interrupção de atividades essenciais podem repercutir sobre a segurança alimentar, a saúde e o acesso a bens indispensáveis. Em outros cenários, ataques contra redes elétricas, hospitais, sistemas de abastecimento de água ou infraestrutura de transportes podem ameaçar diretamente a vida e a integridade das pessoas. E é natural que situações dessa natureza, ocorrendo de forma coordenada, neste e em outros contextos (a ponto de o mês de outubro de 2026 ter sido classificado pela comunidade de cibersegurança como “Black October”, em referência a uma concentração excepcional de vulnerabilidades críticas, incidentes de segurança, ataques cibernéticos e comprometimentos de cadeias de suprimentos tecnológicas) gera um certo pânico e instabilidade social.
Em síntese, o que esses episódios parecem demonstrar é que a segurança cibernética envolve questões relacionadas à continuidade operacional, segurança econômica, estabilidade social e, em determinadas circunstâncias, à própria proteção de direitos humanos. A crescente interdependência entre sistemas, empresas e infraestruturas amplia o alcance dos riscos e torna cada vez mais difícil delimitar onde começa e onde termina a responsabilidade pela segurança. E possivelmente o maior alerta esteja justamente nisso: em um ambiente no qual uma vulnerabilidade aparentemente pontual pode produzir consequências muito além do sistema atingido, a prevenção não pode ser tratada como uma escolha operacional, mas como parte da responsabilidade de quem participa dessa estrutura cada vez mais conectada.
Roberta Lopes da Cruz Antonio escreve quinzenalmente para o BE News. Seus textos são publicados às quartas-feiras.
