O dispositivo no centro destes ataques passa facilmente despercebido num inventário de TI. Trata-se de um pequeno controlador que permite ao técnico de refrigeração verificar temperaturas, ajustar ciclos de descongelação e receber alarmes sem se deslocar à loja. Muitos foram instalados há anos, são mantidos por um prestador externo e desde então têm cumprido a sua função sem dar nas vistas. As empresas afetadas utilizavam estes equipamentos tal como grande parte do setor, e é por isso que as lições se aplicam muito para além delas. As fragilidades exploradas são bem conhecidas, tal como a maioria das soluções, que funcionam melhor quando a loja, a equipa de TI e o fornecedor do equipamento de frio acordam quem faz o quê.

O que aconteceu

Noite de 11 para 12 de outubro de 2026: França

Na noite de 11 para 12 de outubro de 2026, desconhecidos acederam a controladores de refrigeração de supermercados franceses e alteraram as suas definições. Entre as alterações relatadas estão ciclos de descongelação forçados com valores definidos de cerca de 50 °C. Nas lojas do grupo Les Mousquetaires (Intermarché e Netto), as unidades de refrigeração funcionaram a 50 °C durante seis horas, segundo a Reuters (12 de outubro de 2026).

A 12 de outubro, o primeiro-ministro Sébastien Lecornu pediu à ANSSI que tratasse do caso, e o CERT-FR, a equipa de resposta a incidentes da ANSSI, publicou o alerta CERTFR-2026-ALE-012 com recomendações, atualizado a 13 e a 16 de outubro. A secção de cibercriminalidade do Ministério Público de Paris abriu um inquérito.

A 13 de outubro, o ministro da Economia e das Finanças, Roland Lescure, declarou no Parlamento que tinham sido afetados cerca de 700 dos cerca de 10 000 supermercados franceses (AP, 13 de outubro de 2026). Entre eles estavam lojas Intermarché, Netto, Coopérative U, Carrefour, Monoprix e E.Leclerc; os números por insígnia variam consoante as fontes. O grupo Les Mousquetaires estimou provisoriamente perdas de «vários milhões de euros» nas suas lojas (IBTimes UK, 13 de outubro de 2026).

Noite de 1 para 2 de novembro de 2026: em toda a Europa

A segunda vaga começou na noite de 1 para 2 de novembro de 2026 e atingiu lojas e empresas alimentares em pelo menos nove países europeus (Toute l'Europe, 3 de novembro de 2026). A tabela reúne o que autoridades, empresas e meios de comunicação nacionais tinham comunicado até 6 de novembro de 2026, incluindo casos relacionados fora do comércio a retalho. Muitos números são estimativas iniciais e podem mudar.

As perdas são comunicadas loja a loja: de dezenas de milhares de euros em lojas isoladas na Bélgica a mais de 360 000 euros numa loja na Alemanha, segundo o proprietário, e cerca de 3 milhões de coroas suecas num armazém na Suécia (VRT, 3 de novembro de 2026; dpa, 3 de novembro de 2026; SVT, 3 de novembro de 2026). Não foi publicada qualquer estimativa global.

Na Estónia, o ataque a uma loja Selver foi resolvido em cerca de dez minutos e a Selver afirmou que o seu parceiro o tinha detetado rapidamente (ERR, 2 de novembro de 2026).

Como reagiram as autoridades

A nível da UE, o comissário europeu para a Agricultura e a Alimentação, Christophe Hansen, classificou a segunda vaga como «uma tentativa deliberada de perturbar a nossa cadeia de abastecimento alimentar e de minar a confiança dos consumidores nela» (2 de novembro de 2026). A 3 de novembro, a Comissão Europeia reuniu-se com a Europol e a ENISA, e os incidentes foram discutidos na EU-CyCLONe, a rede de organizações de coordenação de cibercrises. A 4 de novembro, a ENISA, a Comissão, o Centro Europeu de Cibercriminalidade da Europol (EC3), a Rede Europeia de CSIRT e a EU-CyCLONe publicaram uma declaração conjunta que apela às organizações para que tomem medidas imediatas para reduzir a exposição dos sistemas afetados e recorda que, desde 11 de setembro de 2026, os fabricantes têm de comunicar incidentes graves e vulnerabilidades ativamente exploradas ao abrigo do CRA.

As agências nacionais de cibersegurança da Suécia, dos Países Baixos e de Itália publicaram ou atualizaram as suas orientações entre 2 e 4 de novembro. Em Portugal, o CNCS acompanha o caso desde 2 de novembro (ver a secção sobre Portugal).

A 5 de novembro, a agência italiana de cibersegurança (ACN) reuniu grandes empresas da distribuição e da indústria alimentar e propôs a criação de um centro de partilha e análise de informação (ISAC) para o setor alimentar (Cyber Security 360, 6 de novembro de 2026). No mesmo dia, a agência norte-americana de cibersegurança CISA, o FBI e outras três agências federais publicaram orientações conjuntas sobre a atividade em curso contra sistemas de refrigeração industrial e de monitorização da cadeia de frio em todo o mundo, com recomendações em grande parte idênticas às europeias. A 6 de novembro, a associação europeia do comércio EuroCommerce convocou uma reunião de emergência dos seus membros (ECO, 6 de novembro de 2026).

A 3 de novembro, dois grupos de hackers pró-russos, NoName057(16) e Z-Pentest, reivindicaram os ataques num vídeo publicado no Telegram. A reivindicação não indica lojas, métodos nem datas, e nenhum governo ou agência a confirmou até agora. O BSI alemão afirmou não ter indícios que sustentem as reivindicações e não exclui que alguém as faça sem ser o autor dos ataques (CORRECTIV, 5 de novembro de 2026). Um responsável da ACN disse ao Il Post que ainda é cedo para perceber o que realmente aconteceu, porque o método de intrusão não foi reconstituído (Il Post, 6 de novembro de 2026). O Kremlin classificou de «absurdas» as alegações de envolvimento russo (The Moscow Times, 5 de novembro de 2026). O Centre for Cybersecurity Belgium tinha afirmado à The Record que «poderá nunca ser possível identificá-los».

Como os atacantes entraram

Os dispositivos envolvidos são unidades de gestão remota para refrigeração comercial. Ligam as câmaras frigoríficas, os congeladores e os expositores de uma loja a uma interface web, para que um técnico possa monitorizar temperaturas, alterar valores definidos e programar ciclos de descongelação à distância. O alerta do CERT-FR refere controladores da Copeland (XWEB), da Danfoss (séries AK-SC e AK-SM) e da Dixell (XWEB).

Segundo a ANSSI, os ataques não exigiram técnicas avançadas. O seu diretor-geral, Vincent Strubel, explicou ao Senado francês, a 21 de outubro de 2026, que foram exploradas «falhas elementares de segurança» (des défauts de sécurisation élémentaire): equipamentos expostos na Internet, administrados sem proteção e protegidos por palavras-passe fracas. Não apontou como causa vulnerabilidades já publicadas. O BSI alemão também considera os ataques não direcionados e oportunistas (CORRECTIV, 5 de novembro de 2026).

Muitos dos dispositivos afetados eram antigos. A Danfoss afirmou que as unidades afetadas utilizavam firmware desatualizado e a Copeland confirmou uma vulnerabilidade em controladores descontinuados e em fim de vida. Para um dos modelos referidos, a documentação do fabricante indica o fim de vida a 31 de outubro de 2016. O CERT-FR alerta que manter ligado à Internet um dispositivo em fim de vida o expõe a «uma probabilidade muito elevada de comprometimento». Entre 2025 e 2026, investigadores de segurança tinham também publicado vulnerabilidades em alguns destes controladores, e existem correções para os modelos suportados. Nenhuma autoridade confirmou que tenham sido exploradas nestes ataques.

A responsabilidade por estes dispositivos é muitas vezes partilhada: a loja ou a cadeia é proprietária, um prestador de manutenção instala-os e gere-os, e o fabricante fornece o firmware. Em Portugal, o CNCS indicou como causa presumível um acesso não autorizado ao controlador remoto de temperatura sob a responsabilidade de um fornecedor (Lusa, 3 de novembro de 2026). Quando a responsabilidade está dividida por três, perguntas simples podem ficar sem resposta: quem muda a palavra-passe predefinida, quem decide se um dispositivo precisa mesmo de estar online e quem é informado de uma atualização de segurança.

A exposição diminui rapidamente quando os proprietários agem. A empresa de análise da Internet Censys contou, a 11 de outubro de 2026, 2 991 sistemas acessíveis a partir da Internet com controladores de um fabricante, 1 825 dos quais em França. A 14 de outubro, o número francês tinha descido para 537 (Infosecurity Magazine, 15 de outubro de 2026). Na Finlândia, o centro nacional de cibersegurança NCSC-FI informou a 2 de novembro que, depois de contactados os proprietários, só continuavam visíveis alguns dispositivos expostos.

Que regras da UE se aplicam

Várias regras da UE são relevantes. Quais se aplicam a uma empresa depende do seu papel na cadeia alimentar, da sua dimensão e dos países onde opera.

Legislação alimentar: porque é que os alimentos são eliminados

A legislação alimentar da UE proíbe a colocação no mercado de géneros alimentícios que não sejam seguros, o que inclui a sua detenção para venda (Regulamento (CE) n.º 178/2002, artigos 3.º, ponto 8, e 14.º), e define quando os géneros alimentícios que não cumprem os requisitos de segurança têm de ser retirados (artigo 19.º). As regras de higiene acrescentam que «a cadeia de frio não deve ser interrompida» e só permitem períodos limitados sem controlo de temperatura se daí não resultar um risco para a saúde (Regulamento (CE) n.º 852/2004, anexo II, capítulo IX). Quando alimentos refrigerados ou congelados ficam demasiado tempo fora do intervalo de temperatura previsto, a loja muitas vezes já não consegue demonstrar que são seguros e retira-os das prateleiras. Como sublinha a ACN, o restabelecimento da temperatura não demonstra, por si só, que as condições de conservação foram mantidas. É daí que vem a maior parte das perdas comunicadas.

NIS2: o comércio alimentar a retalho está, em geral, excluído

O anexo II da NIS2 abrange as empresas do setor alimentar que se dedicam à distribuição por grosso e à produção e transformação industrial. A venda a retalho aos consumidores não está incluída. As médias e grandes empresas que exercem estas atividades estão abrangidas, na maioria dos casos como entidades importantes. Para saber mais: O que é a NIS2.

Há três ressalvas importantes:

• Entidades críticas. As empresas identificadas como entidades críticas ao abrigo da Diretiva relativa à resiliência das entidades críticas (Diretiva CER) estão abrangidas pela NIS2 independentemente da sua dimensão, como entidades essenciais (NIS2, artigo 2.º, n.º 3, e artigo 3.º, n.º 1, alínea f)). No setor alimentar, a Diretiva CER abrange apenas empresas que se dedicam exclusivamente à logística e à distribuição por grosso e à produção e transformação industrial em grande escala. O comércio a retalho não está incluído. Os Estados-Membros tinham de identificar as suas entidades críticas até 17 de julho de 2026.

• As regras nacionais podem ir mais longe. A NIS2 estabelece um mínimo. Na Alemanha, os operadores de instalações críticas são considerados entidades particularmente importantes ao abrigo da lei do BSI (§ 28, n.º 1, BSIG). As regras alemãs sobre instalações críticas do comércio alimentar, atualmente previstas no BSI-KritisV, abrangem instalações de colocação de alimentos no mercado, que podem incluir lojas de retalho, acima de um limiar de 434 500 toneladas por ano. Só as operações de grande dimensão o atingem.

• Grupos. Um grupo de distribuição pode incluir sociedades sujeitas à NIS2, como uma empresa de distribuição por grosso.

Para as entidades abrangidas, os ataques tocam sobretudo dois requisitos: as medidas de gestão dos riscos de cibersegurança, que incluem a segurança da cadeia de abastecimento (artigo 21.º, n.º 2, alínea d)), e a notificação de incidentes, com um alerta precoce no prazo de 24 horas e uma notificação de incidente no prazo de 72 horas após tomar conhecimento de um incidente com impacto significativo, seguidos de um relatório final no prazo de um mês após a notificação (artigo 23.º). Para uma visão geral: Requisitos da NIS2.

Prestadores de manutenção de equipamentos de frio: possíveis prestadores de serviços geridos

A NIS2 define o prestador de serviços geridos como uma entidade que presta serviços relacionados com a instalação, gestão, operação ou manutenção de produtos, redes, infraestruturas ou aplicações de TIC ou de quaisquer outros sistemas de rede e informação, através de assistência ou administração ativa, nas instalações dos clientes ou à distância (artigo 6.º, ponto 39). Um controlador ligado em rede que processa dados digitais pode enquadrar-se na definição de sistema de rede e informação (artigo 6.º, ponto 1, alínea b)). Uma empresa que gere estes controladores à distância para os seus clientes pode, por isso, preencher a definição, e os prestadores de serviços geridos de média ou grande dimensão estão abrangidos. Não encontrámos orientações de nenhuma autoridade sobre se as empresas de manutenção de equipamentos de frio ou de sistemas de gestão de edifícios se enquadram nesta categoria: a avaliação deve ser feita caso a caso, de acordo com o direito nacional.

Regulamento de Ciber-Resiliência: o que os fabricantes têm de comunicar

Desde 11 de setembro de 2026, os fabricantes de produtos com elementos digitais têm de comunicar as vulnerabilidades ativamente exploradas e os incidentes graves com impacto na segurança dos seus produtos (artigo 14.º do CRA). As comunicações são enviadas à CSIRT designada como coordenadora e à ENISA através da plataforma única de comunicação de informações: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final até 14 dias depois de estar disponível uma medida corretiva ou de atenuação (vulnerabilidades) ou no prazo de um mês após a notificação (incidentes). Os fabricantes têm também de informar os utilizadores afetados.

Esta obrigação aplica-se também aos produtos já colocados no mercado (artigo 69.º, n.º 3), mas não retroativamente à exploração conhecida antes de 11 de setembro de 2026. Os principais requisitos do CRA, incluindo as atualizações de segurança durante o período de suporte, aplicam-se a partir de 11 de dezembro de 2027 e apenas aos produtos colocados no mercado a partir dessa data ou que sejam objeto de uma modificação substancial posterior (artigo 69.º, n.º 2). Para os controladores já instalados nas lojas, o CRA não cria, portanto, uma nova obrigação de atualização. Quem utiliza estes dispositivos deve garantir que fabricantes e instaladores sabem quem contactar quando publicam um aviso de segurança.

O que significa para Portugal

Os casos em Portugal

Em Portugal, a segunda vaga atingiu sete lojas Intermarché na noite de 1 para 2 de novembro. Num comunicado, o Grupo Mosqueteiros confirmou que «foram identificadas ocorrências relacionadas com um ataque informático em sete lojas Intermarché em Portugal» (RTP, 2 de novembro de 2026). Segundo o grupo, o ataque «terá visado um prestador de serviços externo responsável pela gestão dos sistemas de refrigeração», «a cadeia de abastecimento não foi afetada» e «estão asseguradas todas as condições de higiene e segurança alimentares» (DN, 2 de novembro de 2026). Em três das lojas houve perda de produtos, segundo o Grupo Mosqueteiros e a APED (Lusa via Observador, 3 de novembro de 2026).

A posição do CNCS

O CNCS acompanha o caso desde 2 de novembro, «enquanto coordenador operacional e autoridade nacional em matéria de cibersegurança». O incidente «presume-se ter tido origem num acesso não autorizado ao controlador remoto de temperatura destes sistemas», sob a responsabilidade de um fornecedor da cadeia de supermercados, e estava ainda a decorrer uma análise forense. Segundo o CNCS, a tipologia e o impacto são idênticos aos do incidente em França, e a ligação entre os dois está a ser investigada. A informação é partilhada com a Rede Europeia de CSIRT e com a EU-CyCLONe (Lusa via Observador, 3 de novembro de 2026).

O CNCS recomenda manter o firmware destes sistemas sempre atualizado, torná-los, se possível, inacessíveis a partir da Internet, reforçar a segmentação entre as redes de TI e de OT e investir na modernização e substituição progressiva dos equipamentos mais antigos.

As obrigações em Portugal

Portugal transpôs a NIS2 através do Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o Regime Jurídico da Cibersegurança e está em vigor desde 3 de abril de 2026. O regime distingue entidades essenciais, entidades importantes e, como categoria nacional, entidades públicas relevantes. No setor alimentar, segue o âmbito da diretiva: abrange a distribuição por grosso e a produção e transformação industrial, e não encontrámos qualquer extensão ao comércio alimentar a retalho.

Para as entidades abrangidas, o regime prevê uma notificação inicial à autoridade de cibersegurança competente no prazo de 24 horas após a verificação de um incidente com impacto significativo e uma atualização no prazo de 72 horas, através da plataforma eletrónica do CNCS. Como o regime prevê prazos de adaptação, cada entidade deve confirmar a partir de quando estas obrigações se lhe aplicam.

A Diretiva CER foi transposta pelo Decreto-Lei n.º 22/2025, de 19 de março. Também aqui, no setor alimentar, só estão abrangidas as empresas que se dedicam exclusivamente à logística e à distribuição por grosso e à produção e transformação industrial em grande escala.

O que verificar agora

As autoridades nacionais publicaram orientações práticas, entre elas o CERT-FR em França, a ACN em Itália, o NCSC-NL nos Países Baixos e o NCSC sueco, e o CNCS fez recomendações em Portugal. As recomendações sobrepõem-se e resumem-se a sete verificações, válidas quer a empresa esteja ou não abrangida pela NIS2. Convém atribuir a cada verificação um responsável e guardar evidências do que foi feito.

1. Identificar todos os dispositivos ligados. Listar, local a local, os controladores de refrigeração, os sistemas de gestão de edifícios e outros equipamentos acessíveis à distância: modelo, versão de firmware, estado de suporte, quem os instalou e quem os mantém. Evidência: um inventário atualizado.

2. Retirar as interfaces de gestão da Internet pública. Restabelecer o acesso remoto apenas através de uma VPN segura ou de uma rede protegida, como recomendam o CERT-FR e a ACN. A ACN pede também autenticação multifator nos acessos remotos e, tal como o CERT-FR, considera a restrição a endereços IP de confiança apenas uma medida temporária. Separar a refrigeração e outros sistemas operacionais das redes de escritório e de convidados, como recomenda também o CNCS. Evidência: a configuração da rede e uma verificação do que é visível a partir do exterior.

3. Acordar a forma como os fornecedores se ligam. Perguntar ao prestador de manutenção do equipamento de frio como acede a cada local, com que contas e a partir de onde, e quem é informado quando o faz. Incluir as regras no contrato de assistência. A ACN recomenda limitar os acessos dos fornecedores aos recursos e períodos autorizados, registando a atividade e revogando as autorizações no fim da intervenção. Evidência: as respostas do fornecedor e a cláusula contratual. Para saber mais: Gestão do risco de fornecedores.

4. Substituir palavras-passe predefinidas e partilhadas. Alterar as credenciais de fábrica, atribuir uma conta individual a cada técnico sempre que o dispositivo o permita e utilizar a definição de segurança mais restritiva oferecida pelo fabricante. Evidência: um registo datado da alteração.

5. Verificar a configuração, não apenas os acessos. Comparar valores definidos, programas de descongelação e limiares de alarme com a configuração aprovada. O CERT-FR observa que uma simples reposição das definições de fábrica não basta. Garantir que os alarmes de temperatura chegam a alguém que possa intervir fora do horário de abertura. Evidência: a configuração aprovada e o resultado da comparação.

6. Atualizar ou substituir. Instalar o firmware mais recente nos dispositivos suportados, como recomenda também o CNCS. Para os dispositivos em fim de vida, planear a substituição e mantê-los desligados da Internet até lá. Evidência: as versões de firmware e um plano de substituição.

7. Preparar o procedimento de resposta a incidentes. Definir quem contacta quem, como desligar um dispositivo em segurança, que registos (logs) guardar, quando retirar os alimentos de venda e que autoridade informar. Em Itália, a ACN pede que se preservem registos e configurações e que se comuniquem acessos anómalos e outros indicadores de comprometimento através do CSIRT Italia; em Portugal, a autoridade nacional de cibersegurança é o CNCS. Evidência: um procedimento escrito e uma lista de contactos.

As orientações originais: alerta CERT-FR CERTFR-2026-ALE-012 (francês), boletim da ACN BL01/261013/CSIRT-ITA (italiano), NCSC-NL (neerlandês) e NCSC Suécia (sueco).

Como o Formalize ajuda

O Formalize é uma plataforma de conformidade e gestão de riscos. Não monitoriza dispositivos nem deteta ataques: isso continua a ser tarefa das ferramentas de segurança de rede e do prestador de manutenção. O Formalize ajuda na parte que tende a ficar para trás quando as notícias passam: garantir que cada verificação tem um responsável, um prazo e evidências, em todas as lojas e com todos os fornecedores.

• Um inventário dos equipamentos ligados. Registar os controladores de refrigeração e outros dispositivos ligados como ativos, associados aos locais, processos e fornecedores que deles dependem.

• Acessos dos fornecedores sob controlo. Com a Gestão de terceiros, as organizações enviam questionários aos prestadores de manutenção, recolhem respostas e evidências, acompanham os níveis de serviço acordados e planeiam reavaliações anuais.

• As verificações das autoridades como controlos. Transformar as sete verificações em controlos e tarefas com responsáveis, lembretes e escalonamento, guardando as evidências num único local.

• Avaliação de risco. Avaliar o risco dos equipamentos ligados com risco inerente e risco residual, associado aos ativos e fornecedores envolvidos.

• Gestão de incidentes. Registar incidentes, seguir um fluxo de comunicação e acompanhar os prazos, incluindo os previstos na NIS2.

• Auditorias internas. Utilizar o módulo de auditoria para verificar se as medidas estão implementadas, com constatações que têm um responsável, uma data-alvo e um encerramento aprovado de forma independente.

• A NIS2, onde se aplica. O NIS2 Compliance Blueprint e os nossos Blueprints nacionais associam estas atividades aos requisitos aplicáveis.

Este artigo reflete a informação pública disponível a 6 de novembro de 2026. As investigações estão em curso e os números podem mudar. Trata-se de informação geral e não de aconselhamento jurídico. Para a sua situação específica, verifique as regras nacionais aplicáveis ou consulte um jurista.