Na madrugada de 11 para 12 de outubro de 2026, gerentes de centenas de supermercados na França abriram a loja e encontraram as câmaras frias quentes. Sem tela de resgate, sem pedido de dinheiro, sem dado roubado: alguém entrou nos controladores de refrigeração pela internet e acionou remotamente a função de degelo, com consigna de até 50 °C e ciclos longos. O governo francês estimou cerca de 700 lojas atingidas entre as 10 mil do país, e o presidente do Intermarché falou em dezenas de milhões de euros de estoque perdido. O detalhe que importa para qualquer empresa brasileira com câmara fria, catraca ou ar-condicionado central: o equipamento invadido não era um servidor. Era uma caixa na parede que ninguém chama de computador — com painel de gestão aberto na internet para o fornecedor dar manutenção remota.

O ataque não foi contra a TI. Foi contra a operação.

Os equipamentos envolvidos foram controladores Danfoss AK-SM800 e AK-SC355, ambos legado: o fabricante declarou o AK-SM800 em fim de vida em 2021 e descontinuou o AK-SC355 em 2016. Parte do parque atacado rodava software sem correção — e seguia de cara para a internet. O CERT-FR informou conhecer numerosos comprometimentos desses controladores, a ANSSI recomendou desconectá-los da rede e a promotoria de Paris abriu investigação.

O aviso não era novidade. Em 2025 a CISA publicou o alerta ICSA-25-140-03 sobre a série AK-SM 8xxA, tratando a falha CVE-2025-41450 — autenticação imprópria, CVSS 8.2, explorável pela rede e sem privilégio. A Claroty Team82 mostrou o motivo: a senha diária de administração era derivada da própria data, e reproduzir o cálculo dava sessão administrativa. O fabricante corrigiu na R4.2 e a CISA repetiu a recomendação de sempre: equipamento de controle não deve ficar exposto na internet. A correção existia há mais de um ano quando as câmaras frias aqueceram.

O mesmo desenho está no seu mercado, na sua clínica e no seu prédio

A tentação é ler o caso como problema de supermercado europeu. Não é. O desenho que falhou na França se repete em quase toda PME com operação física, sempre com os mesmos três ingredientes: um equipamento que a empresa não enxerga como computador, um acesso remoto que o fornecedor pediu para “poder ajustar daqui” e um firmware que ninguém nunca atualizou porque o aparelho “está funcionando”.

• Refrigeração de mercado, padaria, açougue, restaurante e distribuidora de alimentos.
• Farmácia, clínica e laboratório com produto termolábil — a RDC 430/2020 da Anvisa, alterada pela RDC 653/2022, define o termolábil pela temperatura máxima igual ou inferior a 8 °C e exige controle e registro de temperatura na armazenagem.
• CFTV, DVR e controle de acesso: catraca, fechadura eletrônica, portão, interfone IP — e a câmera publicada na internet para o dono “ver a loja do celular”.
• Automação predial: ar-condicionado central, elevador, nobreak, gerador e painel de incêndio de condomínio comercial.

Em nenhum deles o prejuízo chega como vazamento de dados. Chega como estoque perdido, lote descartado e operação parada — e, em medicamento e alimento, como problema sanitário com rastro documental.

Por que o alarme não salvou ninguém

O detalhe mais cruel do caso francês é o uso de ciclos de degelo longos. Degelo é função legítima: todo controlador faz isso periodicamente. Um ciclo longo mantém a temperatura subindo por horas sem o alarme disparar com a urgência de uma falha de compressor. O ataque não quebrou o equipamento; usou o equipamento como ele foi projetado, só com os parâmetros errados. Monitoramento que só avisa quando a máquina para não vê isso.

É como deixar a chave do estoque embaixo do tapete porque o técnico do freezer aparece uma vez por ano. Funciona — para ele e para quem mais repare no tapete. O painel na internet com senha de fábrica é esse tapete.

Como proteger a sua empresa

1. Levante o inventário do que não parece computador

Liste tudo que tem energia, endereço de rede e painel de configuração: controlador de refrigeração, DVR, catraca, ar-condicionado, impressora, relógio de ponto. O que não está no inventário ninguém atualiza nem monitora.

2. Tire o painel da internet

Nenhum desses equipamentos deveria ter redirecionamento de porta no roteador. O acesso do fornecedor passa por VPN ou ZTNA com MFA, com conta nominal, janela de tempo e registro de sessão — nunca por um IP fixo com usuário e senha genéricos.

3. Faça quatro perguntas ao fornecedor por escrito

Quem, além de nós, acessa esse painel? Por onde? Com qual credencial — individual ou compartilhada? O fabricante ainda publica atualização para este modelo? A resposta entra no contrato de manutenção.

4. Mate a senha de fábrica e a credencial compartilhada

Troque toda senha padrão, crie uma conta por técnico e revogue o acesso quando o contrato ou o profissional sai. Credencial compartilhada não tem dono — e, sem dono, não há como auditar quem mexeu no parâmetro.

5. Verifique o ciclo de vida de cada equipamento

Peça a data de fim de suporte de cada modelo. Equipamento fora de suporte não se corrige: ele se isola e entra na fila de substituição, com data e orçamento.

6. Segmente a rede e monitore o parâmetro, não só a falha

Câmara fria, CFTV e catraca ficam em VLAN separada, sem rota para o financeiro nem para a internet. E o monitoramento precisa alarmar desvio de temperatura e mudança de configuração, com alerta chegando em alguém de plantão — não numa tela que ninguém olha de madrugada.

O risco mudou de endereço

Durante anos a conversa de segurança em PME girou em torno do computador, do e-mail e do servidor. O caso francês mostra um caminho mais barato: o equipamento que sustenta a operação física, comprado pela manutenção, instalado pelo fornecedor, conectado à internet por conveniência e esquecido por uma década. Não exige malware sofisticado nem engenharia social — exige só que o painel esteja lá. A correção é de gestão: inventário, acesso controlado, segmentação e um ciclo de atualização que inclua as caixas na parede.

🔐 Quem mais tem acesso remoto aos equipamentos que mantêm a sua operação de pé? Fale com os especialistas da Trinity TI e descubra o que está exposto na internet da sua empresa hoje.