Em 5 de novembro de 2026, CISA, FBI, HHS, USDA e DOT publicaram um alerta conjunto sobre ataques a sistemas de refrigeração industrial e monitoramento da cadeia fria. O aviso veio três dias depois de um incidente em um fornecedor de equipamentos frigoríficos afetar instalações de três unidades do serviço público de sangue da França, a Établissement français du sang (EFS). A ficha conjunta dos órgãos dos EUA trata de riscos mais amplos; a EFS relatou separadamente o que ocorreu em seus locais.
O que aconteceu nas instalações da EFS
Em 2 de novembro, um incidente de cibersegurança em um fornecedor de equipamentos frigoríficos afetou sistemas de monitoramento e controle de câmaras frias em três unidades da EFS. A entidade disse que não foi alvo direto. Anomalias alteraram configurações de temperatura e de degelo para níveis muito altos, segundo a declaração publicada pela EFS em 3 de novembro.
Os alarmes e a vigilância da EFS detectaram as alterações. Conforme o caso, os equipamentos foram controlados ou neutralizados, e os produtos armazenados foram transferidos preventivamente para outras instalações. A EFS informou que não houve impacto à saúde nem perda de produtos sanguíneos e que a coleta e a distribuição continuaram.
Por que os controles de refrigeração importam
Esses equipamentos fazem parte da tecnologia operacional (OT, na sigla em inglês), isto é, sistemas que monitoram ou controlam processos físicos, como a temperatura de uma câmara fria. Se as configurações forem alteradas, estoques sensíveis podem ficar expostos a temperaturas inadequadas.
A ficha dos cinco órgãos dos EUA afirma que sistemas de controle de temperatura e de refrigeração comercial vulneráveis, sem correções ou expostos à internet vêm sendo alvos de atividade cibernética global. Saúde e serviços de saúde, indústria química, alimentos e agricultura e transportes estão entre os setores que usam esses sistemas. O aviso aponta riscos como mudanças de temperatura, incêndios, perdas de estoque e redução da vida útil dos equipamentos.
Na cadeia fria, a segurança digital precisa vir acompanhada de alarmes independentes e de uma forma de assumir o controle localmente.
O alerta dos EUA e as medidas recomendadas
A ficha conjunta recomenda retirar da internet os dispositivos ou sistemas de controle, trocar senhas padrão e usar senhas mais fortes, instalar correções e atualizações e substituir equipamentos antigos que já não recebem suporte dos fabricantes. Essas orientações se referem ao risco geral para sistemas de refrigeração industrial, não a uma explicação do incidente na EFS.
Medidas para hospitais atribuídas à Health ISAC
A NPR relatou que um boletim da Health ISAC para o setor de saúde recomendou separar os controles de refrigeração das redes de TI hospitalares e de visitantes, treinar equipes para operar os equipamentos manualmente em emergências e manter cópias de segurança offline. A reportagem também atribuiu ao diretor de segurança da Health ISAC, Errol Weiss, a defesa de alarmes térmicos independentes e de interruptores físicos cabeados, que não possam ser anulados por comandos de software.
A segmentação de rede limita as conexões entre sistemas distintos; nesse caso, ela separa os controles físicos da refrigeração das redes usadas por funcionários e visitantes. Alarmes independentes e controles físicos oferecem formas adicionais de detectar uma mudança de temperatura e intervir sem depender apenas do sistema conectado.
