Em 28 de abril de 2025, uma falha em larga escala nas redes elétricas atingiu Espanha, Portugal e parte do sul da França. Trens metropolitanos pararam, serviços de Telecomunicações ficaram intermitentes e sistemas financeiros e bancários sofreram interrupções consideráveis. O que inicialmente gerou suspeitas de um ciberataque foi posteriormente esclarecido como uma falha sem indícios de intrusão maliciosa. No entanto, a simples possibilidade de um ataque deliberado ter causado tamanho impacto levantou uma questão urgente: estamos prontos para proteger as infraestruturas que sustentam nossas sociedades?
O setor elétrico está entre os mais afetados pela transição digital global. A convergência entre sistemas legados, redes SCADA (em português "Controle Supervisório e Aquisição de Dados"), dispositivos IoT (em português, "Internet das Coisas") e integração com plataformas baseadas em nuvem tem gerado eficiências operacionais e viabilizado a transição para fontes renováveis de energia. Contudo, esse avanço tecnológico também trouxe consigo uma explosão na superfície de ataque.
Antigas subestações que operavam de forma isolada agora são monitoradas e controladas remotamente. Sistemas de gerenciamento de energia distribuem decisões com base em algoritmos que interagem com ambientes externos. Esse novo paradigma rompeu as fronteiras entre o que antes era considerado ambiente operacional (OT) e corporativo (IT), criando zonas de risco cibernético que exigem novas abordagens.
A investigação inicial do blackout europeu afastou a hipótese de um ataque deliberado. No entanto, a forma como a falha se espalhou rapidamente, afetando diversos setores críticos, simulou com precisão o tipo de impacto que um ataque cibernético coordenado poderia provocar.
Em um mundo no qual atores estatais e grupos cibercriminosos têm demonstrado capacidade de comprometer redes críticas (como no caso de ataques anteriores aos oleodutos da Colonial Pipeline nos EUA ou às redes elétricas na Ucrânia), a ocorrência de eventos como este precisa ser tratada como um "ensaio real" da nossa vulnerabilidade coletiva.
Infraestruturas críticas, como energia, água, transporte e telecomunicações, são os sistemas que garantem a estabilidade e a funcionalidade de uma sociedade moderna. Um ataque bem-sucedido a esses sistemas pode resultar em colapsos com consequências humanas, econômicas e geopolíticas.
O desafio é que muitos desses sistemas foram projetados com foco em disponibilidade e eficiência, e não em segurança. Com a digitalização, muitas camadas de proteção simplesmente não foram incorporadas. A falta de segmentação adequada entre domínios IT e OT, o uso de protocolos inseguros (como Modbus e DNP3 sem criptografia), e a inexistência de processos estruturados de gestão de vulnerabilidades tornam o ambiente ainda mais suscetível.
A resposta à crescente ameaça não está apenas na tecnologia, mas em uma mudança cultural e estrutural. Abaixo, segue um conjunto de práticas recomendadas para fortalecer a segurança de redes elétricas e ambientes industriais:
Segmentação de redes: Implementar zoneamento e conduítes conforme diretrizes da IEC 62443, isolando funções críticas e restringindo o movimento lateral de ameaças.
Inventário dinâmico de ativos: Utilizar ferramentas especializadas para descoberta automatizada e monitoramento em tempo real de ativos industriais e IoT.
Gestão de vulnerabilidades com contexto operacional: Aplicar modelos multicritério (como PROMETHEE, TOPSIS) que considerem impacto funcional, criticidade do ativo e contexto de produção.
Simulações de ameaças e testes de resiliência (CTEM): Avaliar a maturidade dos controles através de simulações controladas e exercícios de resposta.
Autenticação forte e controle de acessos: Com base em contexto, função e identidade, aplicando MFA (autenticação multifator) e princípios de menor privilégio.
Integração entre times de IT, OT e gestão de riscos: Promovendo visão unificada, resposta coordenada e alinhamento com normas como ISO 27001, IEC 62443 e NIST 800-82.
O fator humano na equação da segurança: Não se pode falar em resiliência cibernética sem considerar o elemento humano. Muitas das brechas exploradas em ataques recentes tiveram origem em configurações incorretas, senhas fracas ou erros de operação. Investir em formação contínua, promover simulações reais de incidentes e integrar as equipes de operação à estratégia de defesa é essencial.
O blackout europeu de abril de 2025 não foi causado por um ciberataque. Mas a sua ocorrência em um contexto de digitalização massiva, tensões geopolíticas e ameaças persistentes serve como um alerta definitivo.
Diante da complexidade crescente das infraestruturas digitais, o foco não deve ser o risco do ataque em si, mas sim a nossa prontidão operacional para enfrentá-lo. A cibersegurança precisa deixar de ser um silo tecnológico e se tornar um pilar estratégico de continuidade nacional.
A próxima falha pode não ser acidental. Estaremos prontos?
Sandro Caetano, especialista em cibersegurança da Peers Consulting + Technology.
