Segurança para Indústria de Manufatura: contendo o ransomware que para a sua linha de produção

Por que a manufatura virou alvo prioritário de ransomware

Durante décadas, o chão de fábrica foi um mundo isolado. CLPs, IHMs e sistemas SCADA rodavam em redes proprietárias, fisicamente separadas da informática corporativa, falando protocolos que ninguém fora da automação conhecia. Essa obscuridade funcionava como uma forma rústica de segurança. O problema é que ela acabou. A Indústria 4.0, a demanda por dados de produção em tempo real, a manutenção preditiva, a integração ERP-MES-SCADA e o acesso remoto de fornecedores derrubaram o muro entre TI e OT. Hoje, o histórico de processo conversa com o data lake na nuvem, o engenheiro acessa a IHM por VPN de casa e o robô recebe ordens de produção que vieram do mesmo Active Directory que autentica o e-mail. A convergência trouxe eficiência — e abriu um caminho direto da caixa de entrada de um operador até a prensa hidráulica.

Para o atacante, a manufatura é um alvo de altíssimo valor por um motivo simples: a tolerância a paradas é quase zero. Uma linha automotiva, uma planta de alimentos com produtos perecíveis, uma siderúrgica com forno que não pode esfriar ou uma farmacêutica com lote em processo não têm o luxo de ficar uma semana offline analisando logs. Cada hora de parada custa dezenas ou centenas de milhares de reais em produção perdida, multas contratuais com montadoras, perecimento de matéria-prima e penalidades de SLA com clientes. Os grupos de ransomware sabem disso. Eles cronometram ataques para o fim de semana ou para o pico de produção, criptografam justamente os servidores que controlam a linha e calibram o resgate sabendo que cada dia parado é uma alavanca de negociação a favor deles.

Some-se a isso o ativo silencioso que toda fábrica carrega: propriedade intelectual. Receitas de processo, parâmetros de máquina afinados ao longo de anos, projetos de produto, ferramental, fórmulas químicas e know-how de fabricação. Espionagem industrial — por concorrentes ou por atores estatais — busca exatamente esses arquivos, e raramente faz barulho. O roubo de PI pode passar meses despercebido porque, ao contrário do ransomware, não há tela vermelha pedindo bitcoin; há apenas dados saindo lentamente por um canal que ninguém estava monitorando.

A anatomia do ataque: como o ransomware salta da TI para a OT

Entender o caminho do ataque é o que permite cortá-lo. Em quase todos os incidentes industriais que param produção, a sequência é a mesma e não começa no chão de fábrica. Começa em um lugar mundano: um e-mail. Um operador, um analista de PCP ou um engenheiro de processo recebe uma mensagem com um anexo ou um link. O endpoint é comprometido. A partir daí, o atacante está dentro da rede de TI, no Nível 4/5 do modelo Purdue — o mundo do ERP, do e-mail e do Active Directory.

Fase 1 — Foothold e reconhecimento na TI

Com o primeiro endpoint sob controle, o atacante não vai direto para a OT. Ele se estabelece. Coleta credenciais com ferramentas de despejo de memória, mapeia o Active Directory procurando contas de serviço e administradores, identifica os servidores de arquivo e descobre onde estão os backups — porque destruir os backups é parte do plano. Esse período de reconhecimento pode durar dias ou semanas, e é justamente a janela em que um SOC 24x7 com detecção comportamental consegue pegar o intruso antes que ele cause dano irreversível.

Fase 2 — Movimentação lateral e descoberta da ponte para a OT

O ponto crítico do ataque industrial é a descoberta da conexão entre TI e OT. Em fábricas mal segmentadas, essa ponte é trivial: a estação de engenharia que controla os CLPs está no mesmo domínio do Active Directory corporativo; o servidor SCADA tem o agente de e-mail instalado; o operador usa a mesma senha no ERP e na IHM. O atacante encontra uma estação de engenharia, uma jump box mal configurada ou uma conta com acesso duplo, e usa essa ponte para atravessar do Nível 4 (TI) para os Níveis 3, 2 e 1 (supervisão, controle e dispositivos de campo). Em uma rede bem segmentada, ele bate em um firewall industrial e em uma DMZ que não deixam esse tráfego passar — e o ataque morre na fronteira.

Fase 3 — Detonação no chão de fábrica

Uma vez na OT, o ransomware criptografa o que faz a linha funcionar e enxergar: servidores SCADA e historiadores, estações de operação (HMIs baseadas em Windows), servidores MES e de receitas, e frequentemente também os backups que estavam acessíveis pela rede. Os CLPs em si muitas vezes não são criptografados — eles não rodam Windows — mas ficam órfãos: sem a IHM e sem o SCADA, o operador não tem mais como supervisionar o processo, ler alarmes ou comandar com segurança. O resultado prático é uma parada total, não porque cada máquina foi atacada, mas porque o sistema nervoso que as coordena foi cegado. E é exatamente aí que o atacante manda a nota de resgate, cronometrada para o pior momento possível.

As cinco ameaças que definem o risco de uma fábrica

Essas cinco ameaças não são independentes. Elas se encadeiam. A movimentação lateral TI→OT é o eixo: é ela que transforma um phishing comum em um desastre de produção, que dá ao espião o acesso aos arquivos de PI e que permite que o comprometimento de um fornecedor se propague até os CLPs. Por isso a estratégia de defesa da Decripte não trata cada ameaça isoladamente — ela ataca a estrutura que permite o encadeamento, fechando a fronteira TI/OT, instrumentando os dois lados e ensaiando a resposta para quando uma camada falhar.

O fornecedor como vetor: o elo mais esquecido

Toda fábrica moderna depende de terceiros com acesso profundo: o integrador de automação que mantém os CLPs, o fabricante da máquina (OEM) que faz manutenção remota, o fornecedor de MES, a empresa de telemetria. Cada um desses acessos é uma porta. Quando um integrador usa a mesma credencial de VPN para dez clientes, o comprometimento de um vira o comprometimento de todos. Quando um OEM mantém uma conexão de manutenção permanentemente aberta, ela vira um túnel esperando ser abusado. A segurança da cadeia de suprimentos na manufatura passa por inventariar todos esses acessos remotos, dar a cada um o mínimo privilégio, registrar tudo e monitorar o comportamento — porque o ataque que vem por um fornecedor de confiança não dispara os alarmes óbvios.

Contenção sob pressão: o que a Decripte faz na primeira hora

Quando uma fábrica nos aciona com a linha parando, não há tempo para deliberação. A primeira hora define se o incidente fica contido na TI ou consome a OT inteira. A Resposta a Incidentes da Decripte opera com SLA de contenção em até 1 hora justamente porque, na manufatura, esse relógio compete diretamente com o relógio do atacante criptografando servidores. Mas conter na indústria não é simplesmente desligar máquinas — desligar a coisa errada na hora errada pode danificar equipamento, arruinar um lote ou criar risco de segurança para quem está no chão de fábrica.

Na prática, a sequência de contenção prioriza isolar a fronteira antes de tudo: bloquear o tráfego entre os níveis de TI e OT, derrubar as conexões de acesso remoto de fornecedores, desabilitar as contas comprometidas no Active Directory e cortar os canais de comando e controle que o atacante usa para se comunicar com a infraestrutura externa. Esses quatro movimentos, executados em paralelo, fazem o atacante perder as mãos sobre o ambiente. Só então a equipe parte para a avaliação do dano já causado na OT e para a decisão, sempre conjunta com a operação, sobre quais sistemas precisam ser parados de forma controlada e quais podem continuar operando em modo manual seguro.

Monitoramento industrial: enxergar o que os logs de TI não mostram

A maioria das fábricas que sofre um ataque de OT descobre tarde demais porque seu monitoramento parava na TI. Coletavam logs do firewall corporativo, do antivírus e do Active Directory — e ficavam completamente cegas para o que acontecia no tráfego industrial. Um comando anômalo a um CLP, uma estação de engenharia se comunicando com um destino que nunca usou, um setpoint sendo alterado fora da janela de operação: nada disso aparece nos logs de TI. O SOC 24x7 da Decripte para manufatura é construído para ver os dois lados.

Essa visibilidade muda o jogo da detecção. Em vez de descobrir o ataque quando a linha já parou, o SOC enxerga os sinais da fase de reconhecimento e movimentação lateral: a varredura de rede vindo da TI em direção à OT, a tentativa de autenticação numa estação de engenharia em horário atípico, a primeira comunicação de um historiador com um IP externo. São esses sinais precoces, correlacionados entre os logs de TI e o tráfego de OT, que permitem ao analista intervir enquanto o atacante ainda está do lado de cá da fronteira — antes que o salto aconteça.

Segmentação TI/OT: a barreira que impede o salto

Se o salto TI→OT é o ponto de não retorno, a segmentação é a muralha que o impede. Mas segmentação na indústria é frequentemente mal compreendida. Muitas fábricas acreditam estar segmentadas porque criaram VLANs separadas para TI e OT — e VLAN não é segurança. Uma VLAN organiza o tráfego, mas não o filtra; um atacante com acesso ao switch atravessa VLANs com facilidade. Segmentação real significa controle de fluxo entre zonas por firewalls que inspecionam e bloqueiam, organizados segundo um modelo de referência reconhecido.

A Decripte estrutura a segmentação respeitando a realidade da planta: não dá para parar a produção para reorganizar a rede de uma vez. O trabalho é faseado. Começamos mapeando todos os fluxos de comunicação que realmente existem entre TI e OT — frequentemente descobrindo conexões que ninguém documentou. Depois desenhamos as zonas e conduítes segundo o modelo Purdue, implementamos a DMZ industrial, e migramos os fluxos legítimos para passarem por ela de forma controlada, um a um, validando que a produção não é afetada a cada passo. O acesso remoto de fornecedores é redirecionado para um broker seguro com autenticação forte, gravação de sessão e acesso por tempo limitado — acabando com os túneis permanentes.

Gestão de vulnerabilidades em OT: corrigir sem parar a linha

A pergunta que todo gestor industrial faz é: como aplicar correções de segurança em sistemas que não podem ser reiniciados? A resposta honesta é que, em OT, muitas vezes você não pode corrigir — pelo menos não no ritmo da TI. Um CLP crítico só pode receber atualização numa parada programada que acontece duas vezes por ano; um SCADA pode depender de uma versão específica que o fornecedor não certifica em sistema operacional mais novo; uma máquina ainda em garantia perde a cobertura se você alterar seu software. A gestão de vulnerabilidades industrial não ignora isso — ela trabalha com isso.

O processo é contínuo e calibrado para a indústria. Mantemos um inventário vivo dos ativos de OT — alimentado pelo monitoramento passivo, sem varreduras agressivas que poderiam derrubar um controlador frágil. Cruzamos esse inventário com as vulnerabilidades conhecidas e os avisos dos fornecedores e dos órgãos setoriais. Priorizamos pela combinação de severidade, exposição real e criticidade do ativo para a produção. E, fundamentalmente, planejamos a correção em sincronia com as janelas de manutenção da planta — porque a melhor correção do mundo não serve se for aplicada quando a linha está rodando um lote crítico.

Pentest OT-aware: testar a fronteira sem derrubar a produção

Testar a segurança de um ambiente industrial é diferente de testar uma aplicação web. Uma varredura agressiva que seria inofensiva numa rede de TI pode travar um CLP antigo e parar a produção. Por isso o Pentest da Decripte para manufatura é desenhado com extremo cuidado e com regras de engajamento construídas junto com a equipe de OT do cliente. Em ativos sensíveis de OT, privilegiamos a abordagem passiva e a análise de arquitetura; os testes ativos e intrusivos ficam concentrados na TI, na fronteira TI/OT e em ambientes de teste que espelham a produção, nunca na produção crítica sem aprovação explícita e supervisão.

O objetivo do pentest industrial não é só achar vulnerabilidades técnicas — é validar a hipótese central da defesa: o atacante consegue, de fato, saltar da TI para a OT? Simulamos o caminho completo de um adversário realista, do phishing inicial à movimentação lateral, e testamos se a segmentação aguenta, se a DMZ industrial filtra o que deveria, se as estações de engenharia estão protegidas, se os acessos remotos de fornecedores são exploráveis. O resultado é um diagnóstico que mostra exatamente onde a muralha tem brechas — e um plano de correção priorizado por impacto na produção.

Conformidade e continuidade: o que a indústria precisa demonstrar

A segurança industrial cada vez mais é exigência contratual, não escolha. Montadoras impõem requisitos de cibersegurança aos seus fornecedores da cadeia automotiva; multinacionais auditam a maturidade de segurança de quem entra na sua supply chain; certificações como a ISO/IEC 27001 viram pré-requisito para fechar contrato. E embora a fábrica não pareça uma empresa 'de dados', ela está sob a LGPD: dados de funcionários, de prestadores, de clientes corporativos, e a propriedade intelectual que, vazada, gera dano material e regulatório. A ANPD é a autoridade competente, e um vazamento que afete dados pessoais pode exigir comunicação ao órgão e aos titulares.

Mas conformidade sem continuidade é papel. O que de fato protege a produção é a capacidade de se recuperar. Isso significa backups offline e imutáveis dos sistemas que controlam a linha — SCADA, históricos, receitas, configurações de CLP — guardados de forma que o ransomware não consiga alcançá-los pela rede. Significa procedimentos de recuperação testados, não apenas documentados: a fábrica precisa saber, com confiança, quanto tempo leva para restaurar o SCADA e voltar a produzir. E significa ter um plano de resposta a incidentes ensaiado com a participação da operação, porque a primeira vez que a equipe de OT coordena com a equipe de segurança não pode ser durante a crise real.

Anatomia ilustrativa: o ransomware que saltou da rede corporativa para o chão de fábrica

Como a Decripte responde a um incidente em uma indústria de manufatura

A resposta a incidentes na manufatura é diferente porque o relógio compete com o atacante e com o custo de cada hora de parada, e porque conter na OT exige saber o que não desligar. Estes são os passos que a Decripte segue, sempre lado a lado com a equipe de operação do cliente:

1. Acionamento e triagem imediata: classificamos a severidade e identificamos se o atacante já alcançou a fronteira TI/OT ou ainda está contido na rede corporativa — essa é a primeira pergunta que muda toda a estratégia de resposta.
2. Contenção do salto TI→OT em até 1 hora: bloqueamos o tráfego entre as redes, derrubamos os acessos remotos de fornecedores, desabilitamos as contas comprometidas e cortamos os canais de comando e controle, fechando a rota do atacante antes que ela alcance o chão de fábrica.
3. Coordenação com a operação para decisões físicas: nenhum sistema de OT é parado sem a equipe de automação e o engenheiro de segurança da planta — a contenção é cirúrgica, preserva o controle local quando possível e nunca cria risco para quem está no chão de fábrica.
4. Erradicação na TI: identificamos todos os endpoints e contas comprometidos, isolamos e reconstruímos as máquinas a partir de imagens limpas, redefinimos credenciais e removemos os mecanismos de persistência do atacante.
5. Análise forense do vetor e do caminho: reconstruímos como o ataque entrou e por onde se moveu, confirmando o ponto exato em que foi contido e preservando as evidências para eventual obrigação regulatória ou ação legal.
6. Recuperação verificada da produção: validamos a integridade de SCADA, históricos e estações de engenharia antes de religar conexões, restauramos a partir de backups íntegros quando necessário e confirmamos que a linha volta a operar com segurança.
7. Avaliação de impacto a dados pessoais e PI: verificamos se houve exfiltração de dados sob a LGPD ou de propriedade intelectual, orientando sobre eventual comunicação à ANPD e aos titulares quando aplicável.
8. Relatório executivo e técnico com plano de hardening: entregamos a cronologia completa, as lições aprendidas e o roteiro priorizado para fechar as brechas que o incidente revelou, transformando a crise no ponto de partida da maturidade.

Como a Decripte estrutura a segurança de uma fábrica

Responder bem a um incidente é necessário, mas o objetivo é que ele não pare a produção. A estruturação da segurança industrial da Decripte se apoia em pilares que, juntos, fecham a rota do ataque e dão à fábrica a capacidade de detectar, conter e se recuperar:

Planos recomendados para Manufatura

Perguntas frequentes

Termos do setor

OT (Tecnologia Operacional)

Conjunto de hardware e software que monitora e controla processos físicos no chão de fábrica: CLPs, IHMs, sistemas SCADA, históricos de processo, robôs e dispositivos de campo. Diferencia-se da TI por priorizar disponibilidade e segurança física acima da confidencialidade.

ICS/SCADA

Sistemas de Controle Industrial (ICS) e, dentro deles, os sistemas de Supervisão, Controle e Aquisição de Dados (SCADA), que dão aos operadores a visibilidade e o comando sobre a linha de produção. Comprometer o SCADA cega a operação e força a parada.

CLP (Controlador Lógico Programável)

Dispositivo industrial robusto que executa a lógica de controle de máquinas e processos no chão de fábrica. Tem ciclo de vida de 15 a 25 anos e raramente roda sistemas operacionais convencionais, o que muda completamente a abordagem de correção e monitoramento.

Modelo Purdue

Modelo de referência que organiza o ambiente industrial em níveis, do campo (sensores e atuadores) até a TI corporativa e a internet, definindo onde devem ficar as fronteiras de segurança — em especial a DMZ industrial entre os mundos de TI e OT.

DMZ industrial

Zona desmilitarizada posicionada entre a rede de TI e a rede de OT que media toda a comunicação entre os dois mundos. Nenhum tráfego atravessa direto de um lado para o outro: tudo passa pela DMZ, é inspecionado e só o estritamente necessário segue adiante.

Movimentação lateral TI→OT

Técnica pela qual um atacante que comprometeu a rede corporativa (TI) atravessa para a rede de produção (OT), explorando pontes mal segmentadas como estações de engenharia, contas com acesso duplo ou acessos remotos de fornecedores. É o vetor que transforma um incidente de TI em uma parada de fábrica.