Na noite de domingo para segunda-feira, centenas de supermercados franceses foram alvo de um ataque informático dirigido aos sistemas de refrigeração. Os atacantes elevaram a temperatura de frigoríficos e arcas congeladoras até 50 °C durante a noite, provocando alguns incêndios e a perda de produtos em várias centenas de lojas. Segundo se sabe, foram ativadas remotamente as funções de descongelação forçada em frigoríficos, congeladores e câmaras frigoríficas.

O Grupo Les Mousquetaires, proprietário da Intermarché (que também tem presença em Portugal: https://intermarche.pt/), indicou que cerca de 150 das suas lojas tiveram os equipamentos aquecidos a 50 °C durante seis horas, tendo todos os alimentos afetados sido destruídos para eliminar riscos sanitários. O Carrefour (que deixou de operar em Portugal) reportou 80 supermercados atingidos e o Monoprix 5% das suas lojas. A Coopérative U reportou cerca de uma centena de lojas afetadas. O fabricante dinamarquês Danfoss declarou ter conhecimento de incidentes em França que afetam um número limitado de sistemas dos seus sistemas remotos de gestão de refrigeração que terão sido o vetor destes ataques. A empresa dinamarquesa tem representação e presença em Portugal: https://zeben.pt/danfoss-portugal tem vários clientes, e potencialmente, também nas grandes superfícies nacionais.

O Ministério Público de Paris abriu uma investigação para identificar as vítimas e estabelecer a ligação com os danos reportados, incluindo perdas alimentares e incêndios. O Primeiro-Ministro Sébastien Lecornu encarregou a agência nacional de cibersegurança (ANSSI) da investigação, e a França está a coordenar-se com parceiros europeus, admitindo que outros países possam também ser afetados. Até ao momento, nenhum grupo hacker reivindicou o ataque o que indica – assim como a escala e o facto de não ter havido um pedido resgate/ransomware – para uma ação de um agente estatal operando no contexto da guerra da Ucrânia e dos ataques às estruturas de retalho na Rússia.

Sublinhamos: Não se trata de ransomware nem de roubo com posterior exfiltração de dados: trata-se de sabotagem física através de sistemas digitais acessíveis pela Internet, dirigida a uma infraestrutura de que depende o abastecimento alimentar da população.

Notas de prudência:
1. O vetor de ataque não foi oficialmente divulgado. 
2. Não está confirmado que o ataque se tenha estendido a outros países: a Ahold Delhaize afirmou não haver motivo para ligar os incidentes em França aos seus supermercados, contrariando publicações que referem a Albert Heijn como vítima. O mesmo sucedeu com ataques a empresa de retalho na Suécia
3. Valores de prejuízo por loja, temperaturas de 80 °C e previsões de escassez alimentar noutros países circulam sem fonte oficial e devem ser tratados com cautela.

Importa, contudo, registar o contexto. Em agosto de 2026, a https://br.claroty.com/team82 divulgou vulnerabilidades no controlador de supervisão Danfoss AK-SM 800A https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers que permitem manipular fisicamente sistemas de refrigeração e deteriorar silenciosamente o seu conteúdo; a Danfoss corrigiu-as na versão de firmware R4.3.1. Os investigadores apontaram como fatores de risco persistentes as credenciais previsíveis, as interfaces de gestão expostas na Internet e a lenta adoção de atualizações. Não está estabelecido que estas vulnerabilidades tenham sido exploradas em França, mas tal é muito provável.

Porque é relevante para Portugal

Os mesmos fabricantes e o mesmo modelo de exploração (controladores centrais de loja acessíveis remotamente por empresas de manutenção) são correntes na distribuição alimentar portuguesa. A frequente subcontratação da manutenção de frio a terceiros multiplica os pontos de acesso, as credenciais partilhadas e a dificuldade de saber quem pode alterar o quê e a partir de onde fazem com que um ataque semelhante em Portugal teria impacto económico, sanitário e potencialmente de segurança, dado o risco de incêndio associado às resistências de descongelação em funcionamento forçado.

Recomendações CpC às empresas de distribuição alimentar e de manutenção de frio:

1. Verificar, com caráter de urgência, se algum controlador de refrigeração ou sistema de gestão técnica do edifício está acessível a partir da Internet e retirá-lo dessa exposição. O acesso remoto deve passar por canal seguro (VPN com autenticação multifator), nunca por interface web aberta.
2. Atualizar o firmware dos controladores para as versões corrigidas indicadas pelos fabricantes, com prioridade para os equipamentos visados por avisos de segurança recentes.
3. Substituir todas as palavras-passe de origem e as credenciais partilhadas entre técnicos ou empresas prestadoras, e revogar acessos de antigos colaboradores e fornecedores.
4. Separar a rede de controlo da refrigeração das redes administrativa, de caixas e de Wi-Fi de clientes.
5. Restringir ao mínimo as funções que podem ser comandadas à distância. A monitorização remota de temperaturas não exige, por si só, capacidade de alterar pontos de regulação ou forçar descongelações; sempre que possível, essas operações devem exigir presença local ou confirmação dupla.
6. Instalar alarmes de temperatura independentes do controlador principal, com alerta por canal próprio, de modo a que a desativação da monitorização central não silencie o aviso.
7. Rever os contratos com as empresas de manutenção, exigindo registo de acessos, autenticação forte, notificação de incidentes e auditorias de segurança.
8. Preparar procedimentos de resposta: quem é contactado de noite, como se isola o sistema, como se passa a operação manual e como se documentam perdas para efeitos de investigação e seguros.

Recomendações ao Governo e às autoridades
1. Que o CNCS emita um alerta formal ao setor da distribuição alimentar e às empresas de manutenção de frio, com indicações técnicas concretas, à semelhança do que a ANSSI está a fazer em França.
2. Que o CNCS avalie, em cooperação com os parceiros europeus, a exposição de sistemas de controlo industrial portugueses na Internet, incluindo refrigeração comercial, e contacte diretamente os operadores identificados.
3. Que se esclareça se o regime jurídico nacional que transpõe a Diretiva NIS2 abrange adequadamente a cadeia de frio do retalho alimentar. A Diretiva inclui o setor alimentar sobretudo na vertente de distribuição grossista e produção industrial; importa avaliar se os grandes grupos de retalho e as suas cadeias logísticas de frio devem ser considerados entidades relevantes.
4. Que se solicite aos fabricantes destes controladores informação sobre o cumprimento das obrigações de notificação de vulnerabilidades ativamente exploradas previstas no Regulamento de Ciber-Resiliência, já aplicáveis desde setembro de 2026, caso se confirme a exploração de uma falha de produto.

5. Que a Assembleia da República acompanhe o tema no quadro da segurança alimentar e da resiliência das infraestruturas críticas.

Equipamentos Danfoss no Portal Base da Contratação Pública:
https://www.base.gov.pt/Base4/pt/pesquisa/?type=contratos&texto=danfoss&adjudicante=&adjudicataria=&tipo=0&tipocontrato=0&cpv=&aqinfo=&desdeprazoexecucao=&ateprazoexecucao=&sel_price=price_11&desdeprecocontrato=&ateprecocontrato=&desdeprecoefectivo=&ateprecoefectivo=&sel_date=date_11&desdedatacontrato=&atedatacontrato=&desdedatapublicacao=&atedatapublicacao=&desdedatafecho=&atedatafecho=&pais=0&distrito=0&concelho=0

Ter em conta que:
1. Em Fevereiro de 2026, a Danfoss foi uma das cerca de 40 organizações dinamarquesas atingidas por ataques DDoS, que deixaram os sites indisponíveis durante algumas horas. Os ataques foram atribuídos a vários grupos de hackers, entre eles o NoName057. Contudo tratou-se de um ataque aos sites e de negação de serviço, não aos seus produtos nem houve indícios de comprometimento de redes ou sistemas. 
2. Em 2022, a Danfoss ia comprar a alemã Semikron, com 3000 trabalhadores, a 1 de Agosto desse ano, e três dias antes a Semikron sofreu um ataque de ransomware extenso.

CVE e os sistemas dos contratos

Os pressostatos, as válvulas expansoras, os actuadores AMB e as bombas hidráulicas não têm CVE conhecidas. São componentes mecânicos ou electromecânicos sem software exposto em rede.

Pelo menos uma central fotovoltaica em Portugal (Portal Base) usa inversores da gama Danfoss TLX sendo que, para essa gama há vulnerabilidades publicadas em 2015. Uma permite injectar código através de cross-site scripting, outra permite ver palavras-passe em texto claro no código HTML, e a terceira expõe o código dos scripts. Provavelmente há mais em centrais operadas por empresas privadas.

Onde estão as vulnerabilidades graves da Danfoss

As vulnerabilidades sérias que parecem terem sido atacadas em França estão nos controladores de refrigeração comercial, usados sobretudo em supermercados

O AK-SM 800A teve uma falha crítica em 2023. Por validação inadequada de dados, um atacante autenticado podia executar comandos remotamente.

Em 2025, o AK-SM 8xxA teve outra falha. Permitia a um atacante remoto contornar a autenticação e executar código arbitrário, porque a palavra-passe era gerada a partir da data e hora. 

O AK-EM100 tem falhas de injecção de comandos, e a Danfoss recomenda, simplesmente, retirar este tipo de equipamento de serviço. 

Nota aos cidadãos

Não há, neste momento, indicação de qualquer incidente em Portugal. Em França, os retalhistas destruíram os produtos afetados. Recomendamos atenção a informações alarmistas sem fonte oficial e a eventuais tentativas de fraude que explorem o tema.

CpC: Cidadãos pela Cibersegurança