Se você acompanhou o noticiário nas últimas semanas, viu as três manchetes. Freezers de supermercado na França chegando a 50 °C no meio da madrugada. O banco de sangue francês avisando que alguém mexeu na temperatura do plasma. E a Binance, a maior corretora de criptomoedas do mundo, confirmando o maior roubo de cripto já registrado.
Lidas separadas, parecem histórias de mundos diferentes: varejo, saúde e finanças. Lidas juntas, contam a mesma coisa, e é por isso que eu escrevi este texto. Primeiro o que aconteceu, com fonte. Depois o padrão. E, no fim, onde ficam essas mesmas portas numa empresa pequena.
O que aconteceu, com fonte
As geladeiras dos supermercados
- Madrugada de 11 para 12 de outubro: os controladores de refrigeração de centenas de supermercados franceses foram postos em modo de degelo com a comida dentro. Sem alarme e com a loja vazia, as temperaturas chegaram a cerca de 50 °C em seis horas, e uma loja na Normandia registrou 80 °C. Houve equipamento derretido, princípio de incêndio e corredores inteiros de congelados no lixo (Le Monde e The Guardian, reunidos no verbete da Wikipédia; TIME).
- Quem foi atingido: Intermarché, Netto, Coopérative U, Carrefour, Monoprix e outras redes. Somando os números por rede publicados pelo Le Monde, passa de 490 lojas; o Guardian fala em até 700. O prejuízo é estimado em "dezenas de milhões de euros".
- A porta: o CERT-FR, centro de resposta a incidentes do governo francês, apontou controladores Danfoss AK-SM e AK-SC e supervisores Copeland e Dixell XWEB. Dois dos modelos Danfoss estavam sem suporte do fabricante desde 2016 e 2021, tinham a tela de login aberta na internet com o usuário "admin", e havia correção para as falhas conhecidas desde agosto de 2025. Segundo a Danfoss, os equipamentos atingidos rodavam versões desatualizadas.
- 2 de novembro: uma segunda onda atingiu dezenas de supermercados em outros países europeus, entre eles Bélgica, Luxemburgo, Holanda, Suécia, Estônia, Alemanha, Irlanda e Portugal (NBC News e o verbete da Wikipédia citado acima).
O banco de sangue francês
- 2 de novembro: o Établissement Français du Sang (EFS), o banco de sangue público da França, informou que em três centrais de armazenamento de plasma os limites de temperatura e de degelo foram elevados "a níveis extremamente altos" (NBC News, SecurityWeek).
- A porta: o fornecedor do equipamento de refrigeração das três centrais. O EFS não foi invadido diretamente.
- O que salvou: os sistemas de monitoramento e alarme pegaram a anomalia rápido, a equipe moveu o plasma e, segundo o EFS, nenhum produto foi perdido e a coleta e a distribuição seguiram normais.
A Binance
- 29 de outubro: a Binance confirmou o roubo do equivalente a US$ 6,3 bilhões em criptomoedas, o maior já registrado. Parte foi congelada nas redes de origem, e a empresa diz que vai ressarcir todos os clientes atingidos (CNBC, The Hacker News).
- A porta, contada pela própria Binance em 3 de novembro: pessoas. Em junho, um funcionário do time de carteiras baixou uma ferramenta de IA adulterada. Em setembro, um engenheiro que procurava emprego fez uma "entrevista", inclusive com o "presidente" de uma empresa que não existia, e baixou um repositório de código malicioso. Em 20 de outubro, o invasor usou esse computador para tomar as máquinas de dois desenvolvedores, e em 29 de outubro disparou o roubo. "Isso não deveria ter acontecido", disse a empresa (Reuters, via NBC News).
- Autoria: o FBI atribui o ataque a um grupo da Coreia do Norte, que nega.
E hoje, 5 de novembro
CISA, FBI e os departamentos de Agricultura, Saúde e Transportes dos EUA publicaram um alerta conjunto chamando os ataques a refrigeração de "ameaça em curso", que atinge supermercados, armazéns frigoríficos, transporte de medicamentos e até freezers de bases militares americanas (TechCrunch, Defense One). As recomendações cabem em quatro linhas: tirar da internet o que não precisa estar lá, trocar senha padrão, aplicar a correção e aposentar equipamento sem suporte.
Três ressalvas honestas. Os números de lojas e de prejuízo variam conforme o veículo, e eu citei a faixa. Ninguém assumiu os ataques às geladeiras: segundo as reportagens, pesquisadores e autoridades americanas suspeitam do Irã, mas o governo dos EUA não atribuiu oficialmente. E, até hoje, não encontrei registro de vítima brasileira nem alerta do CERT.br sobre essa onda. O ponto deste texto não é "está chegando aqui", é outro.
O padrão: ninguém arrombou a porta da frente
Repare onde o invasor entrou em cada caso:
- Um equipamento que ninguém tratava como sistema. Para o gerente do supermercado, o controlador da câmara fria é parte da geladeira, não da TI. Ficou na internet, com usuário padrão, anos depois de o fabricante parar de atualizar.
- Um fornecedor com acesso. O banco de sangue não foi invadido; a empresa que cuida da refrigeração dele foi.
- Uma pessoa fazendo uma coisa normal. Baixar uma ferramenta, participar de uma entrevista. A Binance tem uma das equipes de segurança mais caras do mundo, e a entrada foi o computador de um funcionário.
O sistema principal, o que todo mundo protege, estava trancado nos três casos. O que estava aberto era o que fica em volta dele. E o único caso que não virou desastre, o do banco de sangue, foi o que tinha alarme: alguém ficou sabendo em minutos, não na manhã seguinte.
Quando sair o próximo ataque que importa, você fica sabendo.
Um e-mail quando aparecer uma falha ou um golpe que mexe com o seu site ou o seu negócio: o que aconteceu, com fonte, e o que fazer. Sem spam, cancele quando quiser.
As mesmas portas numa empresa pequena
Você provavelmente não tem câmara fria conectada nem bilhões em cripto. Mas tem as mesmas três portas, com outro nome.
No site
O equivalente ao controlador esquecido é o painel administrativo aberto para qualquer um tentar a senha, o plugin que ninguém atualiza e o PHP numa versão sem suporte. Em outubro saiu uma falha crítica no próprio PHP que pega quase todo site, e eu expliquei como conferir o seu em PHP2Shell: o que fazer no seu site.
No sistema
É aquele sistema interno que um freelancer fez anos atrás e ninguém mais mexe. Ele funciona, então ninguém olha. Ele ainda aceita o usuário "admin" com a senha da instalação? Roda numa versão que o fabricante abandonou? Alguém saberia se ele fosse acessado de madrugada?
No banco de dados, inclusive a planilha
Para muita empresa, o banco de dados é uma planilha. E planilha vaza de jeitos bem simples:
- compartilhada como "qualquer pessoa com o link", e o link foi parar num grupo de WhatsApp;
- com dados de clientes (CPF, telefone, endereço) misturados com o controle financeiro;
- sem cópia de segurança, ou com a cópia no mesmo computador que pode ser perdido.
Num banco de verdade, os equivalentes são a senha de instalação nunca trocada, o banco acessível direto pela internet e o backup que ninguém testou. E aqui entra a lei: se houver dado pessoal, a LGPD exige medidas de segurança (art. 46) e obriga a comunicar à ANPD e aos titulares um incidente que possa causar risco ou dano relevante (art. 48). Escrevi sobre o assunto em planilha ou sistema: quando trocar e sobre a cópia de segurança em como fazer backup do seu site.
Nos fornecedores e nas pessoas
Quem ainda tem acesso ao seu site, à hospedagem ou à planilha? A agência antiga, o sobrinho que montou o site, o ex-funcionário cuja conta ninguém desligou. E quem na sua equipe baixa extensões, ferramentas de IA e anexos sem perguntar? O mesmo truque do código adulterado já apareceu em pacotes de programação, como contei no ataque aos pacotes npm do Mastra.
Cinco perguntas para responder esta semana
- O que da minha empresa está na internet? Site, painel, sistema, câmera, roteador, planilha compartilhada. Faça a lista; o que não precisa estar exposto, tire.
- Onde ainda existe senha padrão ou senha repetida? Troque e ligue a verificação em duas etapas onde der. Se precisar de critério, como saber se a sua senha é forte.
- O que está sem atualização ou sem suporte? Plugin, PHP, sistema, equipamento. O que o fabricante abandonou precisa de plano de troca.
- Quem de fora tem acesso? Revise e corte o que não é mais necessário.
- Eu ficaria sabendo? Se alguém entrasse hoje à noite, quem descobriria, e quando? Alerta de login, backup testado e alguém olhando valem mais que qualquer ferramenta cara.
Se a resposta for "acho que sim", comece pelo site: o Audit-X faz de graça, olhando de fora, a mesma checagem que um invasor faria primeiro, como versão exposta, painel aberto e cabeçalhos de segurança. Para o resto (o sistema antigo, o banco de dados, a planilha com dados de clientes e quem tem acesso a quê), a BPSO pode ajudar: eu reviso com você, digo o que é urgente e o que pode esperar, e quanto custa cada coisa.
Organizar isso sem virar mais uma planilha →
Quero revisar a segurança da minha empresa
Datas, números e citações conferidos nas fontes linkadas em 5 de novembro de 2026. Onde as fontes divergem, está dito no texto. Os casos estão em investigação e podem mudar.