Um ciberataque não precisa bloquear um site ou roubar os dados de uma empresa para provocar danos importantes. Nas últimas semanas, vários incidentes na Europa demonstraram que também pode alterar o funcionamento de instalações físicas das quais dependem serviços cotidianos. Os sistemas de refrigeração de supermercados foram manipulados remotamente, fazendo com que alimentos frescos e congelados deixassem de ser conservados na temperatura adequada. Na França, o mesmo tipo de problema chegou a três centros regionais de bancos de sangue.
Os ataques afetaram estabelecimentos de diferentes países europeus e obrigaram a retirar produtos, transferir reservas e revisar os sistemas de controle remoto. No entanto, nem todos os incidentes tiveram as mesmas consequências: enquanto alguns supermercados registraram perdas de mercadoria, os centros de sangue franceses conseguiram proteger suas reservas graças aos sistemas de alarme e à intervenção de seus trabalhadores.
Especialistas consultados pela EFE advertem de que esses episódios mostram como uma vulnerabilidade informática pode acabar afetando a cadeia alimentar ou serviços de saúde. No entanto, ainda não há provas suficientes para garantir que todos os ataques estejam relacionados, façam parte de uma mesma operação ou tenham sido executados com inteligência artificial.
Supermercados europeus: frigoríficos manipulados à distância
Os primeiros incidentes desta nova onda foram conhecidos no início de novembro, quando vários supermercados europeus detectaram alterações em seus sistemas de refrigeração. Os ataques afetaram estabelecimentos de países como Bélgica, Países Baixos, Suécia, Irlanda, Luxemburgo e Portugal, entre outros.
Na Bélgica, dezenas de estabelecimentos de redes como Delhaize e Carrefour sofreram problemas em suas instalações frigoríficas. Em alguns casos, os sistemas deixaram de resfriar corretamente e os comércios tiveram que retirar alimentos ou recorrer a caminhões frigoríficos para conservar parte da mercadoria. O impacto foi desigual: a Carrefour comunicou que as consequências em seus estabelecimentos belgas haviam sido limitadas e que as lojas puderam permanecer abertas.
Em Portugal, sete supermercados Intermarché sofreram um ataque que afetou as suas equipas de refrigeração. Três deles registaram perdas de produtos, embora a empresa tenha assegurado que o fornecimento não tinha sido interrompido e que as condições de higiene e de segurança alimentar estavam garantidas.
Na Suécia, também foram comunicadas alterações de temperatura em estabelecimentos da cadeia ICA, com perdas de mercadoria. Nos Países Baixos, os incidentes afetaram principalmente pequenos comercios e talhos.
O alcance económico total desta vaga ainda não está fechado. As consequências confirmadas incluem alimentos deteriorados, retiradas preventivas de produtos e problemas no funcionamento dos equipamentos, mas não existe um balanço conjunto definitivo das perdas.
Três bancos de sangue franceses também sofreram o ataque
O episódio mais delicado do ponto de vista sanitário ocorreu na segunda-feira, 2 de novembro, em França. Três centros regionais do Établissement français du sang (EFS), o organismo encarregado de gerir as reservas de sangue, sofreram uma intrusão que afetou os sistemas de vigilância e de controlo das suas câmaras frigoríficas.
Os atacantes conseguiram alterar os parâmetros de temperatura e de descongelação das instalações. Nestas câmaras eram armazenados produtos sanguíneos, entre eles bolsas de plasma destinadas a transfusões e à fabricação de medicamentos.
A situação foi detetada pelos sistemas de alarme, que alertaram o pessoal dos centros. Os trabalhadores transferiram as reservas para outras câmaras frigoríficas que não estavam ligadas aos sistemas comprometidos e reforçaram a vigilância das temperaturas.
O Ministério da Saúde francês confirmou que não tinha sido identificado qualquer impacto sanitário e que não tinha sido perdida qualquer reserva de sangue. Também assinalou que o incidente estava sob controlo e que o acesso remoto aos equipamentos afetados tinha sido desativado.
A investigação continua para determinar como é que a intrusão ocorreu, que dispositivos ficaram comprometidos e quando poderão voltar a ser utilizados com segurança.
Como é que um ataque informático pode estragar alimentos ou comprometer reservas sanitárias
A chave está nos sistemas que permitem controlar instalações físicas a partir de um computador. Muitos supermercados e centros sanitários utilizam plataformas conectadas à internet para supervisionar a temperatura de câmaras frigoríficas, modificar parâmetros e receber alertas quando ocorre uma anomalia.
Se um atacante conseguir acessar esses sistemas, pode alterar o seu funcionamento sem necessidade de entrar fisicamente no estabelecimento. Em incidentes recentes, a manipulação dos controles de refrigeração permitiu modificar temperaturas e ciclos de descongelamento.
Em um supermercado, um aumento de temperatura pode quebrar a cadeia de frio e obrigar a retirar alimentos frescos ou congelados que já não oferecem garantias para o consumo. Em um banco de sangue, as consequências potenciais são especialmente delicadas: conservar os componentes sanguíneos exige condições específicas e uma alteração pode colocar em risco produtos destinados a tratamentos médicos.
Isso não significa que todos os ataques tenham provocado danos sanitários ou que tenham sido perdidas reservas. No caso francês, os alarmes e a intervenção do pessoal evitaram que o incidente tivesse consequências sobre o fornecimento de sangue.
Uma das diferenças importantes desses incidentes é que o objetivo conhecido não foi necessariamente acessar informações pessoais, roubar bases de dados ou exigir um resgate econômico. O que foi documentado nos casos de refrigeração é a manipulação de sistemas de controle que atuam diretamente sobre equipamentos físicos.
Portanto, convém distinguir três tipos de consequências:
-
Interrupção operacional: os sistemas deixam de funcionar com normalidade ou perdem capacidade de controle. Foi o que ocorreu com as instalações frigoríficas afetadas.
-
Danos materiais ou perda de produtos: uma alteração da temperatura pode deteriorar alimentos ou colocar em risco produtos que necessitam de conservação específica. Em alguns supermercados houve que descartar mercadorias.
-
Roubo ou exposição de dados: é uma consequência possível de outros ciberataques, mas não foi confirmada como resultado dos incidentes de refrigeração descritos.
Também não se demonstrou que todos os ataques tenham partido dos mesmos responsáveis. Os especialistas consultados pela EFE insistem em que existem semelhanças nos métodos utilizados, mas ainda faltam provas para estabelecer uma ligação entre os diferentes episódios ou atribuí-los a um grupo específico.
Que vulnerabilidade permite controlar estes equipamentos à distância
Os especialistas apontam que nem sempre são necessárias técnicas especialmente sofisticadas para comprometer uma instalação. Uma senha fraca, um dispositivo desatualizado ou uma conexão remota mal protegida podem abrir a porta aos atacantes.
Em alguns dos incidentes europeus, os sistemas de refrigeração estavam conectados à internet por meio de plataformas de gestão remota. Os especialistas alertaram que determinados equipamentos mantinham credenciais padrão ou não contavam com medidas de proteção suficientes.
Isso permite entender por que um problema aparentemente informático pode acabar afetando uma atividade física. O acesso a um sistema de controle não permite apenas consultar informações: em determinados casos, também oferece capacidade para modificar o funcionamento de máquinas, câmeras e outros equipamentos industriais.
Entre as medidas recomendadas pelos especialistas está a troca das senhas de fábrica, manter o software atualizado, limitar as conexões a partir da internet, separar as redes informáticas corporativas das que controlam as instalações e contar com sistemas de alarme independentes.
Os ataques estão relacionados e quem está por trás?
A concentração de incidentes em diferentes países europeus em um período curto despertou a preocupação das autoridades. No entanto, até a data de 7 de novembro, não se confirmou que todos respondam a uma mesma operação nem se identificou de maneira conclusiva seus responsáveis.
Os especialistas indicaram que foram mencionados grupos de hackers pró-Rússia, mas não existem provas determinantes que permitam atribuir-lhes os ataques. Também não se demonstrou que se tenha utilizado inteligência artificial para executá-los.
A Comissão Europeia tem acompanhado de perto os incidentes e coordenado contactos com a Europol e os Estados-Membros para abordar os riscos relativos às infraestruturas conectadas. A preocupação vai além dos supermercados e dos bancos de sangue: qualquer instalação que dependa de sistemas informáticos para controlar equipamentos físicos pode tornar-se um objetivo se as suas ligações não estiverem suficientemente protegidas.
A principal lição desta vaga é que a cibersegurança já não afecta apenas os dados ou a actividade digital de uma empresa. Quando os sistemas informáticos controlam a conservação de alimentos ou de produtos de saúde, uma intrusão pode ter consequências directas sobre serviços essenciais.