O que a comida dos astronautas ensina sobre os equipamentos conectados da sua empresa

Ataques a refrigeradores de supermercados europeus repetem um problema que a indústria de alimentos resolveu nos anos 1960.

Olimpio Santos

O freezer que esquentou de madrugada

Na madrugada de 2 de novembro, invasores mudaram remotamente a configuração de refrigeradores de supermercados e atacadistas em pelo menos dez países europeus. Os balcões entraram em degelo e passaram a aquecer.

Foi a segunda onda: em outubro, a primeira atingiu 700 dos cerca de 10 mil supermercados da França, segundo o ministro das Finanças, Roland Lescure. A TV francesa BFM relatou balcões a 50 graus. Houve comida descartada, sem pedido de resgate nem roubo de dados.

Na sua empresa, quem responde por um equipamento da operação quando ele passa a receber ordens pela internet?

Como um freezer vira alvo

O alvo foi o controlador, o pequeno computador que regula temperatura e degelo. Para o técnico acompanhar de longe, muitos ficaram com o painel de gestão aberto na internet. Segundo a Censys, mais de 2.900 painéis Danfoss StoreView estavam visíveis em outubro.

Em agosto, a empresa de segurança Claroty publicou 23 falhas em controladores Copeland XWEB, 21 de alta gravidade. Uma permitia chegar às funções de administrador sem senha. Outra permitia deduzir a senha de administrador a partir da data e de dados do próprio aparelho.

A correção existia desde agosto, mas só protege quem instala. Boa parte dos aparelhos atingidos já não recebia atualização, segundo os fabricantes, e na Holanda a Danfoss relatou sistemas com senhas de fábrica.

O CERT-FR, a equipe francesa de resposta a incidentes, pede tirar os painéis da internet, liberar o acesso remoto só por VPN e revisar os horários de degelo. Em aparelho sem suporte, avisa, voltar à configuração de fábrica deixa a falha no lugar.

O teste que comeria toda a comida

Em 1959, a Pillsbury entrou no programa de alimentos espaciais dos Estados Unidos. Segundo a Food Safety Magazine, testar o produto final exigiria tanto alimento que sobraria pouco para os astronautas.

A equipe do microbiologista Howard Bauman, a NASA e laboratórios do Exército trocaram a inspeção do resultado pelo controle do processo. Cada etapa de risco virou um ponto crítico de controle, com limite, monitoramento, correção, verificação e registro. O método ganhou o nome HACCP (no Brasil, APPCC) em 1972.

Na cadeia do frio, a temperatura é o ponto crítico clássico. A pesquisa da Claroty traz o detalhe incômodo: o controlador invadido podia exibir qualquer temperatura entre -50 e 110 graus, sem relação com a real. Quando o registro do APPCC lê o próprio controlador, o termômetro do plano vira o alvo do ataque.

A decisão: um dono para o limite, a máquina e a prova

Automatizar um processo crítico passa a execução à máquina e deixa a responsabilidade com a empresa. O controlador aplica o limite de temperatura sozinho e obedece a quem alcança o painel: o técnico do fornecedor ou o invasor.

A cobrança também vem de fora: a diretiva europeia NIS2 inclui a produção e a distribuição de alimentos e pede que a alta administração aprove e supervisione as medidas de segurança. A empresa também precisa avaliar a segurança dos fornecedores e avisar a autoridade em até 24 horas após um incidente significativo. O CERT-FR lembra de conferir o contrato de seguro antes de cortar a conexão do prestador.

Na prática, cada limite crítico precisa de um dono nomeado, de uma lista de quem o comanda de longe, de uma medição que não dependa do controlador e da data em que o fabricante para de corrigi-lo. No Reino Unido, a atacadista Langridge Organic evitou a perda porque o diretor viu o degelo remoto e desligou o aparelho da internet.

Na sua empresa, qual processo crítico já roda numa máquina, e quem responde por ele diante do regulador, da seguradora e do cliente?