No final de julho de 2026, mais de 30 sistemas de abastecimento de água em Minnesota, nos Estados Unidos, sofreram ataques coordenados. Nos dias seguintes, novos incidentes ou suspeitas de intrusão foram relatados em instalações de outros estados. O modus operandi dos invasores foi direto: alteraram senhas e endereços de IP dos controladores industriais, o que causou a perda de supervisão e controle e, em alguns casos, forçou as equipes locais a recorrer à operação manual. Entre os efeitos registrados estiveram quedas de pressão, alterações pontuais no serviço e alertas preventivos à população.
A operação não foi sofisticada. Segundo alertas emitidos pelo FBI, pela EPA e pela CISA, além de uma advertência conjunta prévia com a NSA, os controladores estavam diretamente expostos à internet e, em alguns casos, insuficientemente protegidos ou mantidos com senhas padrão. A recomendação das agências foi básica, incluindo retirar dispositivos da rede pública e exigir VPN, firewall, segmentação e autenticação multifator. O caso transcende o setor de água e evidencia um risco comum a outras infraestruturas críticas. O que esteve em risco não foram apenas dados administrativos, mas a própria capacidade dos operadores de supervisionar e controlar um processo físico. Essa é a natureza do risco em ambientes de Tecnologia Operacional (OT), e o setor elétrico brasileiro compartilha de uma exposição semelhante.
A energia é o pilar que sustenta todas as demais infraestruturas. Hospitais, telecomunicações, saneamento e bancos dependem do fluxo elétrico, o que significa que uma falha nunca se limita ao agente responsável pelo ativo, mas reverbera por toda a sociedade. No Brasil, esse desafio ganha uma dimensão especial devido à extensão territorial do país e à complexidade do seu sistema elétrico. Apenas na primeira metade de 2025, a Câmara de Comercialização de Energia Elétrica (CCEE) bloqueou mais de 539 milhões de tentativas de ciberataques contra seus sistemas. Embora esse volume reflita investidas no ecossistema corporativo e de mercado, ele ilustra a intensa pressão cibernética sobre o setor. Por isso, a cibersegurança OT deve deixar o âmbito puramente tecnológico para integrar as discussões estratégicas sobre continuidade e segurança operacional.
O valor de um ativo reside na sua função, não apenas na tecnologia que ele embarca. Sistemas SCADA, relés de proteção e gateways sustentam operações vitais. Um ataque pode causar perda de visibilidade ou a emissão de comandos errôneos ou não autorizados, mas o impacto real depende de como a organização desenhou sua arquitetura e sua capacidade de resposta. Em vez de perguntar apenas se um equipamento é vulnerável, os executivos precisam questionar qual processo depende daquele item e o que acontece com a operação se ele for comprometido. É essa mudança de mentalidade que conecta a segurança ao risco real do negócio, separando uma lista técnica de vulnerabilidades de uma verdadeira avaliação de consequências.
É um erro comum acreditar que o risco começa com uma sofisticação extrema. Embora ameaças patrocinadas por Estados existam, o que vejo em campo são falhas básicas que perduram há anos, como acessos remotos de terceiros com controles insuficientes, ativos fantasma que não constam em inventários, segmentações que existem apenas no papel e redes de TI integradas à operação sem a devida revisão. Dados do relatório anual de OT/ICS da TXOne Networks apontam que 96% dos incidentes de segurança em OT tiveram origem em comprometimentos na camada de TI. O ataque raramente começa com um golpe direto a um equipamento crítico, mas sim pelo uso da rede administrativa como porta de entrada. O primeiro passo não é a compra de ferramentas, mas o mapeamento rigoroso dessas dependências.
O Brasil possui um arcabouço regulatório sólido com a REN ANEEL 964/2021 e o trabalho do ONS no Ambiente Regulado Cibernético, mas precisamos distinguir conformidade de resiliência. Estar em dia com as normas e cumpri-las é o dever de casa, enquanto a resiliência é a capacidade real de detectar e manter a operação sob controle durante um incidente. O ciclo de revisão normativa aberto pelo ONS para 2026 é a oportunidade para o setor focar menos na documentação e mais no funcionamento efetivo dos processos.
A série ISA/IEC 62443 surge aqui como a ponte ideal entre a engenharia e a segurança. Ao organizar a arquitetura em zonas e conduítes, a norma permite controlar os fluxos de comunicação entre as redes corporativas e operativas, bem como entre as diferentes zonas do próprio ambiente OT, aplicando proteções proporcionais ao impacto. Ela oferece, inclusive, níveis de segurança mensuráveis e critérios claros de maturidade de processos, transformando o desejo de proteção em metas objetivas e permitindo uma comunicação direta e eficiente com os conselhos de administração.
Para quem busca avanços concretos no curto prazo, três ações são fundamentais. Primeiro, é preciso inventariar cada acesso remoto, identificando quem, de onde e por qual motivo entra na rede OT. Segundo, mapear as funções operacionais mais críticas e documentar o cenário de falha para cada uma delas. Terceiro, testar a restauração real de sistemas, com cronômetro na mão, pois o tempo que você leva para recuperar um sistema de proteção ou uma estação de engenharia é o seu tempo real de resiliência, o resto é apenas estimativa.
A digitalização do setor elétrico é um caminho sem volta. No entanto, proteger essa infraestrutura não é apenas um exercício de tecnologia, mas um compromisso com a continuidade dos serviços que sustentam o País. Quem já consegue responder à pergunta sobre a criticidade de seus processos deu o primeiro passo para construir resiliência. Quem ainda não sabe responder está deixando ao acaso sua proteção e a capacidade de reagir diante do próximo incidente.
• Por: Roberto Moraes, Gerente de Cibersegurança OT da IndraMind Cyber no Brasil.