Pacific News #323: Os Caçadores de Tormenta
Assunto do momento: Ciberataques à refrigeração de supermercados se espalham pela Europa
O que aconteceu? Nesta segunda-feira, 2 de novembro, atacantes voltaram a invadir os sistemas que controlam geladeiras e freezers de supermercados na Europa. Mas, agora, escolheram – pelo menos – nove países diferentes: Bélgica, Suécia, Estônia, Luxemburgo, Irlanda, Holanda, Finlândia, Portugal e Itália.
Extensão: Na Bélgica, a Delhaize teve cerca de 40 lojas afetadas e o Carrefour, 15 das mais de 700. Na Suécia, uma loja da ICA teve geladeiras e freezers programados para 50°C e precisou descartar mercadoria. Na Irlanda, a rede SuperValu retirou produtos refrigerados e congelados de 13 lojas por precaução. A promotoria federal belga abriu investigação criminal.
Não foi isolado: Entre 11 e 12 de outubro, a França sofreu o mesmo tipo de ataque afetando redes como Intermarché, Netto, Carrefour, Monoprix e Coopérative U.
Por que isso importa: Todo ciberataque que afeta sistemas físicos é bastante relevante. Os sistemas de tecnologia operacional, que controlam processos físicos como temperatura, costumam ficar fora do radar das equipes de segurança, rodam tecnologia antiga e são difíceis de atualizar, como lembrou o Centro Nacional de Cibersegurança da Suécia.
Quem está por trás? Até o momento, não houve nenhum pedido de resgate ou roubo de dados. Além disso, ninguém reivindicou as ações, e o motivo segue desconhecido. O Centro de Cibersegurança da Bélgica admitiu que a autoria talvez nunca seja determinada.
O X da questão: O ataque não é complexo. Os controladores industriais ficam ligados à internet para que as empresas de manutenção monitorem e ajustem a refrigeração à distância. A própria Danfoss disse que a maioria das unidades atingidas na França eram modelos antigos que já não recebem atualizações. Na Holanda, onde ao menos 17 estabelecimentos foram afetados, a fabricante informou que os sistemas não estavam em rede protegida e ainda usavam senhas de fábrica.
Sim, mas: O raio de impacto, apesar de assustar, foi mitigado. Grandes centros de distribuição não foram afetados e, num geral, a resposta foi rápida. Na Estônia, por exemplo, a fornecedora Kitman Coldtech corrigiu a configuração em minutos, sem perda de produtos.
Saiba mais: a recomendação central do CERT-FR é tirar esses controladores da internet, revisar toda a configuração (em especial os horários de degelo), liberar acesso remoto apenas por VPN ou rede protegida, atualizar o firmware e trocar senhas padrão. A agência avisa que as campanhas provavelmente continuam e que restaurar o equipamento às configurações de fábrica não resolve sozinho: um aparelho sem correções exposto à internet tende a ser invadido de novo. O NCSC sueco acrescenta um primeiro passo que vale para qualquer setor: fazer o inventário de tudo que está conectado e questionar se cada dispositivo realmente precisa estar com acesso à internet.
Polymarket paralisa negociações após ataque de cadeia de suprimentos
O que aconteceu? A Polymarket suspendeu as negociações na sua plataforma internacional na quinta-feira (29/10) depois que um fornecedor terceirizado foi comprometido. Usuários tiveram posições vendidas e fundos retirados das carteiras sem autorização.
Por que importa: O problema não estava na blockchain nem nos contratos inteligentes. Estava num script de terceiro carregado no site. É um caso clássico de ataque de supply chain no front-end, o mesmo tipo de risco que afeta qualquer aplicação web que carrega código externo.
O vetor: Os atacantes comprometeram um script de monitoramento de performance usado no site e o usaram para explorar sessões ativas, vendendo posições e transferindo fundos. O fornecedor é a DebugBear, cujo script de RUM (Real User Monitoring) foi substituído. A própria DebugBear diz que seus registros DNS foram comprometidos pelo registrador de domínio e que ela não conseguia receber e-mails enviados ao seu domínio.
Os números: Segundo o postmortem, a Polymarket vai devolver US$ 3,9 milhões, sendo US$ 2,7 milhões pelo roubo e US$ 1,2 milhão por perdas durante a pausa. A Bankless, citando a Bitquery, fala em 726 carteiras atingidas, com perda mediana de US$ 171, e quatro contas com mais de US$ 100 mil cada somando 43% do total. Outra contagem, da Betting Intelligence e da Polysights, aponta 710 carteiras. A diferença é pequena, mas a Polymarket não divulgou uma contagem oficial de vítimas.
Resposta: A Polymarket removeu o script, limpou caches e resetou todas as sessões de login ativas. O caso foi encaminhado a autoridades policiais do Reino Unido. A empresa afirma que vai identificar as carteiras elegíveis pelos dados on-chain e de negociação, sem exigir pedidos. Logo, qualquer “portal de reembolso” pedindo conexão de carteira ou seed phrase é golpe.
Papo Rápido
@Ataques
CLAUDE: Uma versão maliciosa da extensão Claude Code, da Anthropic, ficou disponível por cerca de 11 horas no marketplace do editor Cursor em 29 de outubro, expondo até 5.000 desenvolvedores. O pacote (versão 2.1.313) rodava assim que o editor carregava a extensão, sem exigir qualquer interação, e tentava instalar um backdoor SSH persistente, coletando dados do dispositivo e abrindo acesso remoto. A Anthropic afirma que não desenvolveu essa versão. O Cursor removeu o pacote, tirou o marketplace do ar por precaução e orienta atualizar para a 2.1.314 e rodar o script de limpeza, já que só desinstalar não basta. (SecurityWeek)
BITCOIN: Atacantes exploraram uma falha no BTCPay Server, processador de pagamentos em cripto open source e auto-hospedado, para roubar Bitcoin e Litecoin das carteiras quentes de instâncias desatualizadas. Segundo o projeto, os ataques miraram servidores rodando a versão 2.4.1 ou anteriores, usando um método diferente para contornar uma correção anterior. Quem usa versão vulnerável deve migrar para um servidor novo com carteira nova e tratar a máquina antiga como comprometida, mesmo sem sinal de roubo. (TheHackerNews)
@Atualizações
ANDROID: O boletim de segurança do Android de novembro corrigiu mais de 200 vulnerabilidades, cerca de duas dúzias delas de severidade crítica. A mais grave fica no componente Framework (CVE-2026-58868) e permite execução remota de código sem qualquer interação do usuário, ou seja, sem o alvo precisar clicar em nada. As correções chegam em dois níveis de patch, e o 2026-11-05 cobre tudo, inclusive falhas críticas no kernel e em componentes de fabricantes como MediaTek e Qualcomm.(SecurityWeek)
IVANTI: A Ivanti corrigiu mais duas falhas zero-day no Connect Secure (CVE-2026-111357 e CVE-2026-118527) que atacantes encadeavam com um bug divulgado em outubro para assumir controle, com acesso root, de aparelhos VPN até então totalmente atualizados. Com isso, a empresa afirma ter fechado toda a cadeia explorada em campo. A correção está nas versões 25.1.1.3 e 22.8R2. (BleepingComputer)
@Mundo
HACKTIVISMO: Os grupos hacktivistas Belarusian Cyber Partisans e Silent Crow afirmam ter invadido o Rosstat, o serviço de estatísticas do governo russo, e roubado cerca de 23 TB de dados, entre eles censos, informações econômicas e pessoais e documentos sobre as baixas russas na guerra da Ucrânia. Segundo os atacantes, o acesso alcançou cerca de 25 mil máquinas e parte da infraestrutura interna foi destruída, com mensagens em bielorrusso deixadas no site do órgão. (TomsHardware)
GUERRA: Apps de alerta de ataque aéreo na Ucrânia foram invadidos e, no domingo à noite, passaram a disparar avisos falsos que escalavam para ameaças de ataque nuclear, ataque químico e combate nas ruas. Segundo um especialista do Kyiv School of Economics, o sistema ucraniano foi comprometido por russos, e parte dos usuários clicou em um link que levava a um canal russo no Telegram, expondo-os a desinformação, phishing e vazamento de dados. (BBC)
Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!
Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!
Escrito por: Thaís Hudari Abib, Murilo Lopes
Arte: George Lopes e Anselmo Costa
