Sistemas de refrigeração de supermercados na Bélgica, no Luxemburgo, na Suécia e nos Países Baixos foram alterados remotamente para temperaturas de até 50 °C. Em França, equipamentos de conservação de sangue, operações aéreas e canais de televisão também foram afetados por incidentes distintos, incluindo ciberataques e ameaças de bomba. Os episódios colocaram alimentos e material médico em risco e perturbaram os transportes e os meios de comunicação. Até agora, não foram identificados publicamente os responsáveis nem confirmada qualquer ligação entre os casos.
Sistemas de refrigeração regulados para 50 °C
Na segunda-feira, vários supermercados nos quatro países descobriram que alguns equipamentos de refrigeração tinham sido regulados para temperaturas de até 50 °C. Entre as empresas afetadas estão a Ahold Delhaize, a IKEA, o Colruyt Group e a Carrefour. O calor pode estragar os alimentos, deixando os retalhistas perante possíveis perdas de stock.
Os incidentes surgem depois de um ataque semelhante, em outubro, que afetou centenas de supermercados em França. Nesses locais, as arcas congeladoras sobreaqueceram e os alimentos deterioraram-se; em algumas lojas, também houve incêndios. Mais tarde, foram visados sistemas de refrigeração usados para conservar sangue em França. A interrupção destes equipamentos pode ter consequências para além das perdas de uma empresa, dado o seu papel na cadeia alimentar e na conservação de material médico.
Fredrik Blix, professor associado da Universidade de Estocolmo e especialista em cibersegurança, afirmou que alguns sistemas de controlo da refrigeração estão ligados diretamente à internet pública e protegidos apenas por palavras-passe predefinidas ou credenciais fáceis de adivinhar. Essa configuração pode deixá-los vulneráveis sem necessidade de técnicas sofisticadas. Blix alertou também que a divulgação dos casos pode incentivar ataques semelhantes. Não se pode excluir o envolvimento de atores estatais ou apoiados por Estados, disse, mas a atividade também pode ter sido uma tentativa de testar os limites dos sistemas ou uma partida.
Sem ligação confirmada a atos de sabotagem
Sidharth Kaushal, investigador do Royal United Services Institute (RUSI), considera que os ataques aos supermercados devem ser analisados no contexto de um padrão mais amplo de suspeitas de sabotagem e ameaças híbridas na Europa. Entre os casos que apontou estão danos em cabos submarinos no mar Báltico, ameaças de morte contra executivos de empresas europeias de defesa e uma bomba encontrada a bordo de um avião de carga da DHL em 2024.
Se os ataques aos supermercados estivessem ligados à Rússia, uma possível intenção seria levar os decisores europeus a sentir o custo de continuarem a apoiar a Ucrânia, afirmou Kaushal. Até ao momento, não há provas de que a Rússia tenha realizado os ataques.
As táticas híbridas podem combinar ciberataques, sabotagem e desinformação para perturbar a sociedade sem desencadear um conflito militar aberto. A preparação europeia é desigual, disse Kaushal: a Finlândia e a Suécia apoiam-se na experiência acumulada durante a Guerra Fria e dispõem de sistemas de defesa civil mais desenvolvidos. Já grande parte das infraestruturas europeias foi concebida sobretudo para a eficiência económica, com menor atenção à resiliência. A NATO reforçou o foco na segurança de cabos submarinos e gasodutos depois da sabotagem dos gasodutos Nord Stream, em 2022.
Oana Popescu-Zamfir, investigadora do RUSI especializada em segurança europeia, afirmou que a Europa demorou a adaptar-se à mudança do contexto de segurança e poderá enfrentar novos ataques híbridos realizados através de redes de intermediários. Ataques a sistemas conectados podem causar danos concretos, incluindo perturbações no abastecimento de sangue, e aumentar a preocupação pública com a proteção de serviços do quotidiano. As ligações entre os autores e o Kremlin podem não ser diretas, acrescentou, o que dificulta a atribuição de responsabilidades.
Responsabilidade pela segurança dos sistemas está dividida
Blix afirmou que as empresas podem começar por medidas básicas: sistemas de controlo industrial e outras tecnologias operacionais não devem estar expostos diretamente à internet sem medidas de segurança adequadas. No entanto, a responsabilidade reparte-se entre fabricantes de equipamentos, prestadores de manutenção e retalhistas. As empresas de manutenção podem permitir o acesso remoto por conveniência, enquanto os retalhistas podem não impor requisitos de cibersegurança suficientemente exigentes aos fornecedores. Esta divisão pode dificultar tanto a correção das vulnerabilidades como a determinação de responsabilidades.
A Europa também tem registado protestos, motins e greves relacionados com o custo de vida. Alexander Anderson, presidente e diretor de políticas do Center for International Security and Economic Strategy, alertou para o risco de atribuir demasiado depressa queixas internas genuínas a interferência estrangeira. Operações de influência russas e, possivelmente, chinesas podem procurar acentuar divisões sociais, afirmou, mas isso não significa que todos os protestos tenham origem externa.
As manifestações e greves em França aumentaram a pressão sobre o Governo na gestão das finanças públicas. Em toda a Europa, os preços elevados da energia, a inflação persistente, o crescimento fraco e os défices orçamentais pesam sobre as economias. O aumento dos custos de financiamento também reduz a margem dos governos para apoiar as famílias sob pressão. A responsabilidade pelos ataques à refrigeração, pelas ameaças relacionadas com voos e pelos restantes incidentes continua por esclarecer. Para empresas e consumidores, as questões imediatas são saber se os serviços afetados foram restabelecidos e se os sistemas que os sustentam estão devidamente protegidos.