Paris. Um ciberataque direcionado à infraestrutura de refrigeração do serviço francês de doação de sangue, Établissement français du sang (EFS), no início de novembro de 2026, expôs as vulnerabilidades da tecnologia predial em rede em infraestruturas críticas de saúde. Os perpetradores obtiveram acesso a sistemas de manutenção remota por meio de um provedor externo de serviços de refrigeração e manipularam em larga escala as temperaturas-alvo dos congeladores de plasma sanguíneo. Embora o incidente não tenha causado efeitos adversos à saúde, a vulnerabilidade técnica aponta para fragilidades sistêmicas na interface entre tecnologia médica, automação predial e conexões com provedores de serviços externos.
Vetor de ataque: Manutenção remota como ponto de entrada
Segundo relatos de diversos meios de comunicação europeus e das autoridades de saúde francesas, o ataque teve como alvo os sistemas de acesso remoto da Coolworld, fornecedora de equipamentos de refrigeração, que davam acesso aos sistemas de monitoramento e controle das câmaras frigoríficas de três unidades regionais do Serviço Francês de Doação de Sangue (EFS). Os criminosos reprogramaram os congeladores, projetados para -30 graus Celsius, para atingir temperaturas de até 110 graus Celsius. A discrepância entre a temperatura alvo e a real foi detectada pela tecnologia de monitoramento existente; um técnico de plantão conseguiu perceber o aumento da temperatura durante a noite a tempo e iniciar as medidas corretivas. O EFS confirmou que nenhum produto sanguíneo ou amostra foi danificado e que as operações de doação e distribuição de sangue continuaram sem interrupções.
A Agência Nacional Francesa de Segurança Cibernética (ANSSI) e o Ministério da Saúde iniciaram uma investigação. O incidente faz parte de uma série de ataques a sistemas de refrigeração comercial em diversos países europeus, onde as temperaturas também foram manipuladas remotamente.
Vulnerabilidades específicas da TI em bancos de sangue
A análise técnica do incidente revela diversas categorias interligadas de vulnerabilidades que são características da segurança de TI de bancos de sangue e instalações relacionadas à medicina transfusional.
Em primeiro lugar, há a convergência entre Tecnologia Operacional (TO) e Tecnologia da Informação (TI). A automação predial e o controle de sistemas de refrigeração são sistemas clássicos de Tecnologia Operacional (TO) que historicamente eram considerados isolados. O aumento da conectividade por meio de portais de manutenção remota e plataformas de monitoramento em nuvem está eliminando essa separação física. A literatura sobre segurança cibernética no fornecimento de sangue identifica precisamente essa convergência como um risco fundamental: quanto mais a revolução tecnológica na medicina transfusional avança, maior se torna a superfície de ataque para manipulação da cadeia de suprimentos e das condições de armazenamento. Os autores do artigo de revisão publicado no American Journal of Hematology (DOI: 10.1002/ajh.27479) enfatizam que os bancos de sangue devem adaptar sua arquitetura de segurança ao aumento da conectividade sem comprometer a disponibilidade do suprimento.
Em segundo lugar, há a dependência da cadeia de suprimentos. O ataque não foi direcionado à infraestrutura da EFS em si, mas sim aos sistemas de um fornecedor externo de serviços de refrigeração. Esse padrão de comprometimento por meio de terceiros é comum no setor de saúde e particularmente grave porque os bancos de sangue frequentemente dependem de fornecedores especializados em tecnologia de refrigeração, automação laboratorial e software para transfusão. Uma análise da ANSM francesa sobre incidentes na cadeia de transfusão documenta que a configuração de sistemas de software centrais que atendem a múltiplas instalações é um fator de risco por si só; configurações incorretas ou alterações não autorizadas de parâmetros podem ter sérias consequências para a qualidade do produto.
Em terceiro lugar, a detecção baseada em alarmes serve como a última linha de defesa. O fato de o ataque não ter causado danos deve-se ao funcionamento do sistema de monitoramento de temperatura e à reação humana. Isso evidencia uma dependência precária: a capacidade de detecção pressupõe que a cadeia de alarmes esteja intacta e que a equipe interprete os sinais corretamente. Em outro contexto — a análise de um incidente em medicina transfusional envolvendo uma máquina de aférese — a ANSM (Agência Nacional de Segurança de Medicamentos dos EUA) apontou explicitamente o perigo de "trivializar os sinais de alarme"; notificações de alarme não bloqueantes para parâmetros críticos acarretam o risco de negligenciar desvios significativos. Para a segurança da informação, isso significa que o próprio sistema de detecção é um alvo de manipulação: qualquer pessoa que comprometa a telemetria pode suprimir alarmes ou simular valores normais falsos.
Situação da pesquisa e contramedidas
A literatura científica sobre a segurança da cadeia de frio em bancos de sangue ainda é limitada, mas está em desenvolvimento. Um preprint publicado em 2026 (Europe PMC, DOI: 10.21203/rs.3.rs-8756732/v1) propõe uma estrutura de detecção de anomalias em múltiplas camadas para cadeias de frio em bancos de sangue baseadas em IoT. Essa estrutura visa detectar não apenas outliers estatísticos, mas também manipulações direcionadas de telemetria, como falsificação, repetição e supressão. A abordagem integra detectores temporais por sensor e validação cruzada entre sensores e pontuações de vulnerabilidade do dispositivo. Os autores argumentam que métodos convencionais, como florestas de isolamento ou modelos de risco baseados em CVSS, não conseguem distinguir de forma confiável a manipulação maliciosa de dados de anomalias operacionais. Esta pesquisa aborda precisamente a lacuna que o incidente francês demonstrou na prática: a manipulação dos valores-alvo foi uma anomalia deliberada e não estatística que só pôde ser detectada por meio de verificações de plausibilidade contextual ou intervenção humana especializada.
Em nível organizacional, o serviço de saúde militar francês já simulou um cenário envolvendo a falha do sistema central de qualificação de produtos sanguíneos HEMATOS no exercício DEFNET 2025. O exercício demonstrou que a transição para modos operacionais degradados, com documentação manual e dupla verificação, é viável, mas gera encargos significativos em termos de pessoal e procedimentos. Para o EFS (Escritório Federal Francês de Aquisições de Defesa), o incidente atual apresenta um desafio semelhante, em menor escala: a cadeia de frio permaneceu intacta, mas a integridade do acesso remoto para manutenção e a proteção contratual dos prestadores de serviços serão uma preocupação fundamental.
Classificação e questões abertas
O ataque aos sistemas de refrigeração da EFS não é um incidente isolado, mas parte de uma onda mais ampla de ataques cibernéticos a sistemas de refrigeração nos setores de varejo e saúde na Europa. A particularidade do ataque reside na sensibilidade do alvo: o plasma sanguíneo é um recurso escasso, sensível ao tempo e crítico, e o armazenamento inadequado representa um risco imediato para os pacientes. O fato de a adulteração ter sido detectada antes que qualquer dano ocorresse deve-se à interação entre o monitoramento técnico e a vigilância humana – uma linha de defesa que não pode ser considerada garantida.
As questões em aberto dizem respeito à configuração precisa dos pontos de acesso remoto para manutenção na Coolworld e na EFS, à extensão da violação de segurança e se outras unidades da EFS foram afetadas. A investigação da ANSSI terá de fornecer respostas a estas questões. Independentemente do resultado específico, o incidente aponta para uma lacuna estrutural: as estratégias de cibersegurança dos bancos de sangue tradicionalmente focam-se em software de laboratório e de transfusão, bem como na integridade dos dados dos doadores. A automação predial e a tecnologia de refrigeração, enquanto pré-requisitos físicos para a qualidade do produto, são frequentemente negligenciadas – embora sejam acessíveis através de pontos de acesso remoto para manutenção e, portanto, vulneráveis. Uma estratégia robusta de resiliência para bancos de sangue deve incluir explicitamente esta camada de tecnologia operacional (TO), reduzir a superfície de ataque através da segmentação da rede e de controlos de acesso restritivos para os prestadores de serviços, e reforçar a cadeia de alertas contra tentativas de manipulação.
Nota sobre as fontes: As informações mais detalhadas sobre o incidente provêm de relatórios da SRF, BR e Deutschlandfunk, entre outros. Não há, no momento desta análise, uma publicação científica primária sobre este ataque específico; a literatura citada sobre cibersegurança no fornecimento de sangue e cadeias de frio da IoT fornece o arcabouço teórico, e não os dados empíricos específicos do caso. Os relatórios do exercício DEFNET do Ministério da Defesa francês são relevantes como documentos contextuais para o planejamento de resiliência no sistema francês de fornecimento de sangue, e não como relatórios sobre o incidente em questão.
