Pentágono investiga ataque hacker por trás de freezers que esquentaram e estragaram comida em bases militares dos EUA

O Departamento de Defesa dos Estados Unidos investiga como suspeita de ataque cibernético as falhas de freezers que estragaram alimentos em comissariados, os supermercados que atendem militares dentro das bases, a partir de agosto de 2026, segundo a Reuters, que publicou a informação na quinta-feira, 29 de outubro de 2026, e segundo um funcionário americano ouvido pelo Nextgov/FCW sob condição de anonimato.

A Defense Commissary Agency, agência que administra essas lojas, tem 235 comissariados no mundo, e quatro funcionários disseram à Reuters que os investigadores tratam os casos americanos como suspeita de ataque, segundo o resumo publicado pelo SOFX.

As lojas atingidas

O primeiro relato público veio de Fort Huachuca, no Arizona, que escreveu no Facebook, em 26 de agosto de 2026, que o freezer “entrou em modo de degelo e aqueceu toda a comida”, e acrescentou que ela de fato tinha estragado.

Além de Fort Huachuca, os comissariados atingidos ficam em Fort Irwin e na base aérea de Travis, na Califórnia, na base aérea F.E. Warren, no Wyoming, na estação naval de Newport, em Rhode Island, e na base aérea de Columbus, no Mississippi, segundo o IBTimes UK, e Fort Irwin relatou os problemas em setembro, de acordo com o SOFX.

Algumas lojas continuaram abertas vendendo só produtos secos enquanto a refrigeração era consertada, e o caso foi apontado primeiro em agosto pelo blog Signal and Silence, depois pelo jornal Stars and Stripes, que noticiou a entrada de investigadores militares, e pelo The Telegraph, que relatou o contato com autoridades francesas, segundo o Nextgov.

Quem investiga

Uma unidade do Comando Cibernético dos Estados Unidos, o braço de operações cibernéticas das Forças Armadas, disse que trabalha “em estreita coordenação com parceiros de outras agências e das forças de segurança”, sem dar mais detalhes sobre o andamento ou as conclusões.

A divisão de investigação criminal do Exército confirmou que seu escritório de crimes cibernéticos (Cyber Field Office) participa da apuração e trabalha com a polícia francesa para entender melhor “as falhas de refrigeração na Europa”, segundo o IBTimes UK.

A ligação com o ataque na França

Em outubro de 2026, invasores alteraram os controles de temperatura de equipamentos de refrigeração em mais de 350 estabelecimentos na França, entre eles cerca de 150 lojas Intermarché e quase 100 Super U, e algumas unidades chegaram a cerca de 50°C, com descarte de alimentos e, segundo a Reuters citada pelo IBTimes UK, casos de aparelhos que esquentaram a ponto de pegar fogo.

Muitas lojas francesas usavam controladores da empresa dinamarquesa Danfoss, que disse à Reuters que boa parte dos aparelhos era antiga ou rodava software desatualizado, o que pode ter facilitado a invasão, e a Danfoss não respondeu às perguntas sobre os casos americanos.

Os registros de pelo menos um comissariado, o da estação aérea naval de El Centro, na Califórnia, citam um sistema de controle Danfoss, mas a Reuters não conseguiu confirmar se as lojas atingidas nos Estados Unidos usavam controladores dessa marca ou de outra, segundo o SOFX e o IBTimes UK.

As falhas conhecidas nos controladores

Pesquisadores do Team82, grupo de pesquisa da empresa Claroty, documentaram vulnerabilidades nos controladores de refrigeração Danfoss da série AK-SM 800A, entre elas uma falha de desvio de autenticação (CVE-2025-41450), divulgada em março de 2025, que permite gerar um relatório com endereços IP internos, nomes de usuário e nomes de lojas, segundo o IBTimes UK.

A Danfoss publicou em 1º de agosto de 2025 um alerta sobre outras duas falhas, uma de injeção de comandos que permite executar código remotamente depois da autenticação (CVE-2025-41451) e outra de configuração da interface web que pode derrubar o serviço (CVE-2025-41452), e lançou atualizações de firmware para as três.

Em 13 de outubro de 2026, o Team82 publicou um experimento de laboratório em que um agente de IA de programação reproduziu falhas já divulgadas em cerca de 28 minutos, com custo estimado de US$ 6, mas só conseguiu montar o desvio de autenticação e encadeá-lo à injeção de comandos, chegando ao controle total de um aparelho de laboratório, depois que os pesquisadores lhe deram ferramentas e orientações extras, e o IBTimes UK ressalta que o teste não foi descoberta autônoma de falhas e não mostra que a IA foi usada em nenhum dos dois casos.

O que ainda não se sabe

O degelo é uma etapa normal da refrigeração, que derrete o gelo acumulado nas serpentinas, e o IBTimes UK lembra que um freezer em modo de degelo, por si só, não prova que houve ataque, embora nos comissariados a temperatura tenha subido a ponto de estragar a comida.

Os investigadores não informaram quais controladores estavam instalados nas lojas atingidas, se algum equipamento rodava firmware vulnerável nem se houve acesso não autorizado, e as reportagens disponíveis não estabelecem causa técnica comum entre as falhas americanas e o ataque francês.

O Nextgov lembra que uma avaliação de 2021 do Departamento de Segurança Interna sobre ameaças à alimentação e à agricultura já apontava falhas de refrigeração e atrasos de transporte como riscos cibernéticos capazes de causar perdas e desabastecimento, e que o centro de troca de informações do setor alimentício avisou que atacantes miram controles industriais acessíveis pela internet e nem sempre bem protegidos.