EUA alertam para ataques a sistemas de refrigeração industrial após nova onda na Europa

Após ataques a equipamentos de refrigeração na Europa, autoridades dos Estados Unidos alertam para a exposição de controladores industriais. O risco envolve não apenas a segurança digital, mas também a conservação de produtos e a continuidade das operações.

Um ataque cibernético pode comprometer uma câmara frigorífica sem derrubar a rede da empresa, bloquear computadores ou roubar um único arquivo. Em sistemas de refrigeração conectados, o acesso indevido a um controlador pode ser suficiente para alterar a temperatura de armazenamento, prolongar um ciclo de degelo ou impedir que um operador perceba a mudança a tempo. Foi esse tipo de interferência, com consequências sobre produtos e instalações físicas, que colocou os sistemas de refrigeração no centro de um alerta emitido por autoridades dos Estados Unidos em 5 de novembro.

A advertência ocorre após uma sequência de incidentes na Europa, sobretudo em estabelecimentos comerciais que dependem de equipamentos monitorados e ajustados remotamente. Segundo as informações divulgadas pela imprensa e pelas autoridades norte-americanas, a preocupação não se limita a um fabricante ou a um modelo específico: envolve a combinação de interfaces administrativas expostas, controles de acesso frágeis e dispositivos que continuam operando por anos sem receber a mesma atenção de segurança dedicada aos servidores e às estações de trabalho.

O assunto não é novo para os leitores do Minuto da Segurança. Em outubro, o Blog publicou a reportagem Ataque hacker a refrigeradores na França provoca incêndios e expõe riscos de segurança OT, que examinou a manipulação de equipamentos de refrigeração em supermercados franceses e as consequências relatadas para a operação das lojas. O novo alerta amplia aquela discussão. O que inicialmente poderia parecer um problema localizado no varejo passou a exigir atenção de outras atividades que dependem de temperatura controlada, incluindo frigoríficos, hospitais, laboratórios, centros de distribuição e a indústria farmacêutica.

A apuração sobre os episódios europeus inclui novas ocorrências em estabelecimentos comerciais e relatos de alterações em instalações de armazenamento sensível. Também foram divulgadas informações sobre a investigação de falhas em freezers de lojas localizadas em bases militares norte-americanas. Esses fatos precisam ser lidos com cuidado: a existência de incidentes semelhantes não demonstra, por si só, que tenham sido executados pelos mesmos responsáveis ou que façam parte de uma campanha coordenada. A atribuição e a extensão exata das ocorrências dependem das investigações conduzidas pelas autoridades e pelas organizações afetadas.

O ponto comum é a dependência crescente de controladores de tecnologia operacional, ou OT. Diferentemente de um computador utilizado para tarefas administrativas, esses dispositivos executam funções ligadas ao processo físico. Recebem informações de sensores, comandam compressores e ventiladores, administram ciclos de degelo e ajudam a manter produtos dentro de faixas de temperatura estabelecidas. Muitos são instalados para funcionar durante longos períodos, enquanto fornecedores de manutenção utilizam interfaces remotas para acompanhar dezenas ou centenas de equipamentos distribuídos por diferentes unidades.

Essa arquitetura faz sentido operacionalmente, mas também cria uma exposição difícil de perceber. Um fornecedor pode manter acesso para atendimento emergencial, uma conta técnica pode ser compartilhada entre profissionais e um painel de controle pode permanecer disponível na Internet por conveniência. Se não houver autenticação adequada, restrição de origem, segregação de redes e atualização dos componentes, o mesmo caminho utilizado para corrigir uma falha pode permitir que um terceiro altere parâmetros de funcionamento. Em alguns casos, o equipamento nem sequer consta do inventário de ativos acompanhado pela equipe de segurança da informação.

As autoridades norte-americanas chamam atenção para problemas de autenticação, configurações inseguras e equipamentos desatualizados. Isso não significa que qualquer controlador conectado possa ser explorado da mesma maneira. O efeito de uma invasão depende do modelo, do firmware, dos privilégios obtidos e das proteções existentes na instalação. Também é importante distinguir a alteração de temperatura de consequências mais graves, como danos mecânicos ou incêndios: esses resultados dependem de condições operacionais específicas e de eventuais falhas nas barreiras de segurança física.

Para a empresa atingida, porém, o prejuízo pode começar muito antes de uma situação extrema. Uma câmara fria pode continuar energizada e apresentar funcionamento aparentemente normal enquanto a temperatura real se afasta da faixa exigida. Em um supermercado, isso pode significar descarte de alimentos e interrupção das vendas. Em um centro de distribuição, o desvio pode comprometer cargas de diferentes clientes e provocar atrasos em cadeia. Em hospitais e laboratórios, a avaliação de medicamentos, amostras e hemocomponentes exige critérios técnicos próprios: simplesmente restabelecer a temperatura não garante que os materiais continuem adequados para uso.

Um levantamento da Censys, divulgado pela SecurityWeek, identificou 6.695 controladores de refrigeração acessíveis pela Internet em 9 de outubro e 3.124 ainda expostos em 5 de novembro. A exposição pública não significa, isoladamente, que todos sejam vulneráveis ou tenham sido comprometidos, mas evidencia uma superfície de ataque relevante, especialmente quando há interfaces administrativas sem proteção adequada.

Outro risco destacado no alerta é a perda de visibilidade operacional, conhecida como denial of view. Além de alterar parâmetros de temperatura ou ciclos de degelo, um invasor pode impedir que operadores acompanhem medições atuais. Em instalações que conservam alimentos, medicamentos ou materiais biológicos, a falta de uma verificação independente pode atrasar a identificação de desvios e ampliar os prejuízos.

A situação se torna ainda mais delicada quando a supervisão depende do mesmo ambiente comprometido. Se o operador confia apenas na informação apresentada por uma interface que também pode ser manipulada, a resposta ao incidente tende a atrasar. Por isso, a proteção não deve se limitar a senhas ou firewalls. Medições independentes, alarmes locais, limites físicos de operação e procedimentos de verificação precisam continuar funcionando mesmo quando há suspeita de comprometimento do sistema de controle.

Nas empresas brasileiras, esse cenário expõe uma divisão organizacional frequente: a equipe de tecnologia cuida da rede corporativa, enquanto manutenção, engenharia ou fornecedores externos administram a refrigeração. A separação de responsabilidades não é necessariamente um problema, desde que os riscos sejam conhecidos e os acessos sejam governados. Quando cada área enxerga apenas sua parte, entretanto, ninguém acompanha integralmente a superfície de ataque. O resultado é uma vulnerabilidade operacional que pode permanecer invisível até causar perda de estoque, paralisação, custos emergenciais e questionamentos contratuais ou regulatórios.

Reduzir esse risco começa por identificar os equipamentos e descobrir como são acessados. Interfaces administrativas não devem ficar expostas diretamente à Internet; conexões remotas necessárias precisam de autenticação forte, privilégios restritos e registro das intervenções. Também é essencial revisar contas de terceiros, eliminar credenciais padrão, separar adequadamente os ambientes de TI e OT e manter um plano para corrigir ou substituir controladores sem suporte. As recomendações precisam ser aplicadas com participação da engenharia, porque uma atualização ou varredura inadequada pode interferir na própria operação que se pretende proteger.

O monitoramento deve considerar sinais que façam sentido para o processo, como mudanças inesperadas de configuração, ciclos de degelo fora do padrão e diferenças entre medições independentes. Backups de parâmetros, procedimentos de recuperação e alternativas de operação manual precisam ser conhecidos antes de um incidente. O caso dos refrigeradores europeus mostra por que essa preparação não pode ficar restrita ao departamento de TI: quando o processo físico depende de comandos digitais, a segurança cibernética passa a fazer parte da conservação dos produtos, da segurança das pessoas e da continuidade do negócio.