Na noite de 1 para 2 de novembro, a Coolworld, empresa que faz a manutenção dos equipamentos de frio do Établissement Français du Sang (EFS), foi alvo de um ciberataque. Os atacantes alteraram as definições de temperatura de congeladores que armazenam amostras de dadores e plasma para transfusão, sobretudo na Bourgogne-Franche-Comté.

Estes congeladores funcionam normalmente a cerca de -30 ºC mas há notícia de que, nessa noite, aproximaram-se do máximo de defrost de 110 ºC, o valor máximo programável pelo controlador mas não é conhecido o valor exato. O incidente não teve mais gravidade porque, felizmente, um técnico de serviço detetou a subida de temperatura durante a noite e as autoridades francesas afirmam não ter havido consequências operacionais.

O caso surge três semanas depois do ataque aos sistemas de refrigeração Danfoss em centenas de supermercados franceses e que, atingiu também unidades em Portugal do grupo Intermarché. Os equipamentos afetados estavam ligados à internet e corriam firmware desatualizado. Até ao momento, ninguém reivindicou nenhum dos ataques mas as suspeitas recaem, neste momento sobre agentes estatais provavelmente russas ou, menos provavelmente, iranianas.

A empresa israelita de segurança Claroty tinha publicado em agosto uma investigação sobre falhas nestes controladores, depois de as comunicar ao fabricante, que lançou correções. Contudo, muitos sistemas deste tipo estão fora de manutenção, são obsoletos ou têm manutenção mínima que não aplica regularmente todas as atualizações de software disponíveis.

Propostas CpC:

1. Nenhuma entidade portuguesa confirmou, até agora, qualquer incidente. Os controladores de refrigeração ligados à internet são, no entanto, comuns em todo o espaço europeu, e o modelo de manutenção remota subcontratada é idêntico ao francês.
2. Desde abril de 2026 está em vigor o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2), operacionalizado pelo Regulamento n.º 756/2026 do CNCS. Este quadro impõe gestão de risco, segurança da cadeia de fornecimento e notificação de incidentes a entidades dos setores da saúde e da distribuição alimentar. Importa saber se está a ser aplicado aos sistemas físicos, e não apenas aos informáticos.
3. Sugerimos ao Centro Nacional de Cibersegurança (CNCS) e ao CERT.PT: emitir um alerta público sobre os controladores Danfoss AK-SM e AK-SC e Copeland/Dixell XWEB, à semelhança do que fez a ANSSI em França. Propomos ainda realizar e divulgar, em termos agregados, um levantamento dos controladores de refrigeração portugueses acessíveis a partir da internet, e notificar diretamente os seus responsáveis. Seria igualmente útil esclarecer se a segurança dos sistemas de tecnologia operacional (OT) dos prestadores de manutenção está abrangida pelas obrigações de cadeia de fornecimento do novo regime.
4. Ao Instituto Português do Sangue e da Transplantação (IPST) e aos serviços de imuno-hemoterapia do SNS: identificar todos os equipamentos de frio com acesso remoto, incluindo os geridos por terceiros, e verificar firmware, credenciais e exposição à internet. Propomos manter alarmes de temperatura independentes do sistema de controlo, para que um controlador comprometido não possa ocultar a anomalia, e garantir vigilância humana permanente. Propomos também tornar públicas, em termos gerais, as medidas adotadas, para reforçar a confiança dos dadores.
5. À SPMS e às administrações hospitalares: incluir os equipamentos de frio (farmácia hospitalar, vacinas, laboratórios, morgues) nos inventários de cibersegurança e nos planos de continuidade. Os contratos de manutenção devem passar a prever requisitos mínimos: proibição de credenciais por defeito, acesso remoto apenas por VPN com autenticação forte, atualizações obrigatórias e notificação de incidentes ao cliente.
6. À APED e às cadeias de distribuição alimentar: confirmar publicamente se houve incidentes em Portugal ligados ao ataque de outubro, e exigir aos prestadores de refrigeração a desligação dos controladores expostos e a substituição dos modelos sem suporte.
7. À APIRAC e às empresas de instalação e manutenção de refrigeração: adotar um código de boas práticas que elimine o acesso direto pela internet aos controladores e preveja formação técnica em cibersegurança. O elo mais fraco está, frequentemente, na instalação.
8. Ao Governo: esclarecer se os bancos de sangue, os hospitais e as grandes cadeias de distribuição já foram qualificados como entidades essenciais ou importantes ao abrigo do novo regime, e em que prazo o CNCS fiscalizará a segurança dos seus sistemas físicos.

O que devemos aprender deste incidente?

Equipamentos críticos ligados à internet, sem atualizações e com palavras-passe por defeito, são um convite. Em França houve alimentos destruídos e plasma em risco. Em Portugal, ainda vamos a tempo de agir antes do incidente.

Fontes:
https://hard2bit.com/en/blog/french-supermarket-cyberattack-refrigeration-danfoss/
https://www.pwc.pt/pt/temas-actuais/dl-125-2025.html
https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack