França atribui a uma unidade da Guarda Revolucionária iraniana a sabotagem de controladores de refrigeração de supermercados

Monitoramento cibernético da Top-Secured: análise independente baseada no comunicado oficial de CERT-FR · ANSSI e na imprensa. A Top-Secured não é afiliada a esta empresa e nunca pedirá seus dados bancários nem suas senhas.

A França atribuiu oficialmente ao Irã o ataque que, na noite de 11 para 12 de outubro de 2026, alterou as configurações de controladores de refrigeração em lojas de grandes redes varejistas. O relatório do C4 publicado pelo CERT-FR aponta a unidade Shahid Kaveh da Guarda Revolucionária e descreve perdas de mercadorias e incêndios. Para qualquer empresa, a lição são os equipamentos conectados acessíveis pela internet.

O que aconteceu

Em 9 de novembro de 2026, o Ministério da Europa e dos Negócios Estrangeiros da França atribuiu ao Irã um ciberataque que classifica como a primeira ofensiva de pura sabotagem em solo francês. O ministério aponta a unidade Shahid Kaveh, ligada ao centro cibernético do Corpo da Guarda Revolucionária Islâmica (IRGC), anuncia a convocação do embaixador iraniano e afirma que a França proporá novas sanções europeias. No mesmo dia, o CERT-FR publicou o relatório do Centro de Coordenação de Crises Cibernéticas (C4), que reúne ANSSI, COMCYBER, DGA, DGSE e DGSI.

Segundo esse relatório, os controladores de refrigeração de cerca de 700 lojas de grandes redes foram comprometidos na noite de 11 para 12 de outubro de 2026. Os parâmetros de degelo foram fixados em temperaturas altas, o que causou grandes perdas de mercadorias e, em pelo menos 15 casos, incêndios. O C4 cita entre os afetados os grupos Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, além de pequenos açougues, um abatedouro e cooperativas agroalimentares. O ministério calcula, por estimativa própria, as perdas de alimentos em várias dezenas de milhões de euros.

Como os atacantes agiram

O relatório não detalha como os controladores foram invadidos. Ele informa que os operadores usaram o FOFA, uma ferramenta que cataloga equipamentos acessíveis pela internet, e que a mesma infraestrutura fazia varreduras em equipamentos da Schneider Electric pelo protocolo Modbus (porta TCP 502), sobretudo em pequenas usinas hidrelétricas, com efeitos moderados. O C4 também associa a Guarda Revolucionária a ataques anteriores contra o Charlie Hebdo (2023) e contra uma empresa de painéis de vídeo durante os Jogos de Paris 2024.

O que fazer agora

1. Faça o inventário de todos os controladores, CLPs e interfaces de supervisão (refrigeração, climatização, energia, controle de acesso), inclusive os instalados por uma empresa de manutenção.
2. Teste de fora quais respondem nos seus endereços públicos, por exemplo com nmap -Pn -p 502,80,443,8080 <sua-faixa-publica>.
3. Feche: nenhum protocolo industrial nem página web de controlador diretamente na internet; acesso remoto só por VPN com autenticação multifator, inclusive para prestadores.
4. Troque as senhas padrão e remova as contas sem uso.
5. Monitore: alertas para mudanças de setpoint e desvios de temperatura, e uma cópia das configurações para restaurá-las rapidamente.

Nossa análise

Um controlador de refrigeração é um pequeno servidor, e os atacantes o procuram do mesmo jeito que procuram um servidor web esquecido. O inventário do que está exposto na internet precisa incluir esses equipamentos, e a manutenção remota deve passar pelas mesmas portas que o resto da rede.

Fontes

• CERT-FR — Activités cyber offensives ciblant la France menées par des acteurs iraniens liés au CGRI (CERTFR-2026-CTI-009)
• France Diplomatie — Déclaration d’attribution à l’Iran de cyberattaques visant la France
• The Hacker News — France Blames Iran for Sabotage Attack on Refrigeration Controllers at About 700 Retail Sites

Como escolhemos, verificamos e escrevemos nossas análises →