Controladores industriais comprometidos na Europa também são comercializados e já foram instalados no Brasil. Apesar de discutir desde 2023 uma agência nacional e novas regras de segurança cibernética, o governo ainda não concluiu a estrutura normativa e institucional para enfrentar ameaças que podem comprometer alimentos, medicamentos e serviços essenciais.
Os ataques hackers que permitiram alterar remotamente a temperatura de equipamentos de refrigeração na Europa expuseram um risco que também existe no Brasil e colocaram em evidência a demora do governo federal em transformar discussões sobre segurança cibernética em instrumentos efetivos de prevenção e fiscalização. Controladores industriais das mesmas famílias envolvidas nos incidentes europeus são comercializados no mercado brasileiro e possuem instalações documentadas no país. Entretanto, enquanto as autoridades europeias emitiram alertas técnicos para proteger esses sistemas, o Brasil ainda não concluiu a estruturação de uma autoridade nacional de cibersegurança com competências abrangentes para coordenar medidas preventivas entre diferentes setores da economia.
A situação é particularmente preocupante porque não se trata apenas de ataques destinados a roubar informações ou paralisar redes corporativas. Os criminosos demonstraram a capacidade de interferir diretamente em processos físicos, alterando parâmetros de refrigeração e colocando em risco a conservação de produtos perecíveis. Em um país com uma das maiores indústrias exportadoras de carnes do mundo, além de extensas redes de supermercados, hospitais, laboratórios e centros de distribuição de medicamentos, uma sabotagem dessa natureza pode produzir consequências econômicas e sanitárias significativas, porém com repercussões inimagináveis.
Na França, ataques registrados em outubro de 2026 comprometeram sistemas de refrigeração de supermercados e permitiram alterar parâmetros de temperatura para até 50 graus Celsius. Na Bélgica, uma empresa do setor de carnes relatou prejuízo de aproximadamente 15 mil euros (aproximadamente R$ 92,1 mil) depois que equipamentos de refrigeração atingiram temperaturas inadequadas. Uma nova onda de ataques, registrada no início de novembro, ampliou a preocupação das autoridades europeias com a possibilidade de sabotagem de cadeias de abastecimento.
A agência francesa de segurança cibernética publicou o alerta CERTFR-2026-ALE-012, identificando comprometimentos envolvendo controladores das famílias Danfoss AK-SM e AK-SC, além de sistemas XWEB associados à Copeland e à Dixell. Esses equipamentos permitem supervisionar instalações frigoríficas, controlar parâmetros operacionais e acompanhar o funcionamento de compressores, ventiladores e processos de degelo. Quando comprometidos, podem permitir alterações indevidas na operação dos sistemas, dependendo das configurações e das proteções existentes.
O problema é que essas tecnologias não estão restritas ao mercado europeu. A investigação do Capital Digital identificou anúncios comerciais brasileiros de controladores Danfoss AK-SM e Dixell XWEB, incluindo modelos XWEB500 PRO e XWEB500D EVO. A Copeland mantém atuação comercial no Brasil, enquanto distribuidores especializados oferecem sistemas de supervisão de refrigeração utilizados em estabelecimentos comerciais e instalações industriais.
Há também evidências documentais de instalações brasileiras. Estudos de caso divulgados pela própria Danfoss identificam a utilização do controlador AK-SM 880 em unidades da Coop Cooperativa de Consumo, em São Caetano do Sul e Diadema, no estado de São Paulo. Os projetos foram executados em 2016 e 2015, respectivamente, e envolveram sistemas de gerenciamento e monitoramento de refrigeração.
Esses registros demonstram que equipamentos das famílias citadas nos alertas europeus chegaram efetivamente ao mercado brasileiro. Não comprovam, entretanto, que continuem em operação, que utilizem versões vulneráveis de software ou que estejam acessíveis pela internet. Também não foram identificados documentos públicos que permitam afirmar que grandes frigoríficos brasileiros, como JBS, BRF, Marfrig e Minerva, utilizem especificamente os controladores comprometidos na Europa.
A possibilidade técnica de sabotagem, contudo, está documentada. Pesquisadores da Claroty identificaram, em agosto de 2026, um total de 23 vulnerabilidades na plataforma Copeland XWEB Pro, sendo 21 classificadas como de alta gravidade. Os testes demonstraram possibilidades de interferência no funcionamento de componentes de refrigeração e de manipulação de informações apresentadas aos operadores. A fabricante disponibilizou atualizações para corrigir as falhas identificadas.
A própria Danfoss reconheceu internacionalmente que parte dos equipamentos atingidos nos incidentes europeus utilizava versões antigas de software ou sistemas que já não recebiam suporte. A empresa mantém em seu site brasileiro atualizações para a linha AK-SM 800A, incluindo pacote disponibilizado em outubro de 2026. Isso demonstra a existência de mecanismos de correção, mas não esclarece quantos clientes brasileiros foram notificados ou quantos equipamentos antigos permanecem instalados. E não há nenhuma autoridade com competência para investigar isso.
Um levantamento internacional da Forescout identificou 12.976 serviços de gerenciamento de refrigeração expostos à internet em 99 países e territórios. A pesquisa também apontou utilização expressiva de versões antigas de firmware. Os números não representam equipamentos comprovadamente invadidos, mas demonstram a dimensão potencial do problema. No Brasil, não há levantamento público consolidado que permita identificar quantos controladores dessas famílias permanecem em operação, quais versões utilizam ou quantos podem ser acessados remotamente.
Muita discussão, pouca ação
A repercussão brasileira dos ataques europeus, até agora, está concentrada na imprensa e nas manifestações de especialistas em segurança cibernética. Não foram identificados alertas públicos específicos do CERT.br ou do CTIR Gov sobre os incidentes envolvendo os sistemas de refrigeração, nem manifestações das principais empresas frigoríficas ou de suas entidades representativas. Isso não significa que medidas preventivas não tenham sido adotadas internamente, mas evidencia a falta de informações públicas sobre a resposta nacional a uma ameaça já materializada no exterior.
A ameaça encontra um governo que já reconheceu formalmente a necessidade de proteger infraestruturas críticas, mas que ainda enfrenta dificuldades para transformar suas próprias diretrizes em mecanismos abrangentes de execução. Em dezembro de 2023, o Executivo instituiu a Política Nacional de Cibersegurança e criou o Comitê Nacional de Cibersegurança, o CNCiber. A iniciativa abriu caminho para a discussão de uma Agência Nacional de Cibersegurança, concebida para fortalecer a coordenação, a prevenção e a resposta a incidentes. Entretanto, a criação da agência não avançou até sua efetiva implantação.
O governo Lula chegou a discutir, em 2023, uma estrutura nacional de cibersegurança com custo estimado de R$ 540 milhões anuais quando plenamente implantada. A proposta, porém, não se converteu na criação da autarquia. Em seu lugar, o Executivo avançou na formulação de políticas e estratégias, mantendo distribuídas entre diferentes órgãos as responsabilidades de prevenção, resposta e coordenação.
Em agosto de 2025, o presidente Luiz Inácio Lula da Silva assinou o Decreto nº 12.573, instituindo a nova Estratégia Nacional de Cibersegurança. O texto estabeleceu expressamente como prioridade a segurança e a resiliência de serviços essenciais e infraestruturas críticas, além da cooperação entre órgãos públicos e empresas privadas. Também previu o incentivo à criação de mecanismos nacionais de notificação de incidentes, o compartilhamento de informações sobre vulnerabilidades e a elaboração de um Plano Nacional de Cibersegurança com iniciativas, cronograma e responsabilidades. O artigo 11 é especialmente relevante, pois determina que o Plano Nacional de Cibersegurança detalhe as iniciativas estratégicas, o cronograma de execução e a governança das ações. Esse dispositivo permitiria cobrar do governo não apenas a publicação de diretrizes, mas a sua efetiva implementação.
O problema é que a existência de uma estratégia não significa, por si só, capacidade operacional para prevenir crises. A norma estabelece objetivos e diretrizes, mas não cria automaticamente uma autoridade nacional com poderes gerais para exigir que fabricantes corrijam vulnerabilidades, que operadores industriais comprovem a atualização de equipamentos ou que incidentes sejam comunicados de maneira padronizada por todos os setores econômicos.
A demora tornou-se ainda mais evidente em março de 2026, quando o próprio CNCiber voltou a discutir a necessidade de um marco legal para organizar competências de regulação, fiscalização, coordenação e controle da segurança cibernética nacional. A documentação da nona reunião ordinária, realizada em 25 de março, registra o andamento da proposta de Lei Geral de Cibersegurança, construída a partir de discussões iniciadas em 2023 e aprovada pelo comitê em dezembro de 2025. A minuta e o relatório técnico foram disponibilizados publicamente pelo Gabinete de Segurança Institucional.
Esse histórico torna a postura do governo especialmente questionável. Não se trata de uma ameaça desconhecida, surgida repentinamente com os ataques europeus. A necessidade de proteger sistemas industriais, serviços essenciais e infraestruturas críticas já havia sido reconhecida pelo próprio Executivo. O que os episódios de outubro e novembro demonstram é que ameaças capazes de produzir danos físicos podem se materializar enquanto o país continua discutindo a estrutura institucional e os instrumentos normativos necessários para enfrentá-las.
A diferença entre o reconhecimento político do problema e a capacidade de resposta fica evidente no caso dos controladores de refrigeração. Na França, a autoridade nacional de segurança cibernética identificou as famílias de equipamentos comprometidas e publicou orientações específicas para reduzir a exposição. As recomendações incluem retirar interfaces de gerenciamento da internet pública, revisar configurações, atualizar softwares e permitir acesso remoto somente por conexões protegidas. A autoridade advertiu ainda que equipamentos antigos sem correções de segurança permanecem sujeitos a novos comprometimentos, mesmo depois de restaurados.
No Brasil, embora existam estruturas como o CERT.br, o CTIR Gov, o GSI e autoridades reguladoras setoriais, permanece sem resposta pública consolidada quem acompanha a exposição nacional desses equipamentos e se os operadores brasileiros receberam recomendações específicas depois dos incidentes europeus. A ausência de uma agência nacional não significa que os órgãos existentes estejam impedidos de atuar, mas evidencia a importância de definir responsabilidades e mecanismos de coordenação que ultrapassem os limites de cada setor.
A questão é especialmente delicada porque uma crise envolvendo sistemas de refrigeração pode atingir simultaneamente empresas privadas, redes de abastecimento, serviços hospitalares e cadeias de exportação. A autoridade sanitária pode atuar sobre a qualidade dos alimentos, enquanto equipes de segurança cibernética investigam o comprometimento tecnológico. Entretanto, a prevenção exige identificar vulnerabilidades, comunicar operadores, acompanhar correções e estabelecer procedimentos de resposta antes que os produtos sejam comprometidos.
É justamente nesse ponto que a demora governamental ganha dimensão econômica. Um ataque capaz de inutilizar estoques de carne ou comprometer produtos farmacêuticos não representa apenas um incidente de informática. Pode interromper atividades produtivas, gerar prejuízos comerciais, afetar exportações e exigir providências sanitárias emergenciais. A prevenção depende de investimentos privados, mas também de coordenação pública, sobretudo quando vulnerabilidades semelhantes podem estar distribuídas por milhares de instalações. Fica a pergunta: quanto seria o prejuízo na balança comercial brasileira se os principais fornecedores de carne ficassem inoperantes por um ataque hacker?
O governo tem o argumento de que não permaneceu completamente inativo. Criou o CNCiber, publicou a Estratégia Nacional de Cibersegurança, organizou grupos de trabalho e elaborou propostas normativas. São iniciativas relevantes, mas insuficientes para demonstrar que o país já dispõe de um sistema abrangente de prevenção, fiscalização e resposta a ameaças cibernéticas contra processos industriais essenciais. A criação de uma agência tampouco resolveria automaticamente o problema, mas poderia estabelecer uma autoridade com responsabilidades legais mais claras, desde que acompanhada de recursos, pessoal especializado e mecanismos de cooperação.
O contraste é que, enquanto o Executivo avança lentamente na definição dessas responsabilidades, os ataques já demonstram consequências fora do ambiente digital. A sabotagem de equipamentos de refrigeração mostra como vulnerabilidades tecnológicas podem se transformar em problemas de abastecimento e saúde pública. E a comercialização no Brasil das mesmas famílias de controladores investigadas na Europa torna necessário esclarecer se os fabricantes, distribuidores e operadores nacionais estão preparados para responder.
A questão central deixou de ser a possibilidade de uma invasão alterar remotamente a temperatura de uma instalação frigorífica. Os episódios europeus demonstraram que isso pode acontecer. O que permanece sem resposta é se o Brasil conhece a extensão da exposição de seus próprios sistemas e se possui instrumentos suficientes para agir preventivamente.
Depois de quase três anos de discussões sobre uma nova estrutura nacional de cibersegurança, o governo não pode alegar desconhecimento da necessidade de proteção das infraestruturas críticas. A ameaça já havia sido reconhecida nas políticas e estratégias que o próprio Executivo aprovou. O risco agora é que a lentidão em transformar essas decisões em instrumentos efetivos de prevenção obrigue o país a descobrir suas fragilidades somente depois de uma crise. Nesse cenário, a omissão não estaria necessariamente na falta de diagnóstico, mas na distância entre aquilo que o governo reconheceu como prioridade e aquilo que conseguiu efetivamente colocar em funcionamento.
