Quatro dias parada: o ataque que saiu do teclado e chegou ao gerador

Há duas leituras possíveis para o silêncio de um mês, e as duas provavelmente estão certas. A primeira é que o ativo era mesmo pequeno; se fosse relevante para a rede, o apagão teria denunciado o incidente no mesmo dia. A segunda é que as autoridades preferiram manter o caso discreto. Nenhuma das duas leituras torna o episódio menos importante.

Kevin Townsend, que assinou a análise do SecurityWeek, faz um reparo direto à cobertura britânica. A BBC afirmou que houve pouca atividade iraniana até agora, apesar do temor do setor. O histórico recente diz outra coisa: desde o início do conflito com Estados Unidos e Israel, grupos afiliados ao Irã atingiram sistemas de água e ativos ligados a defesa nos Estados Unidos, alvos militares, governamentais, de energia e de saúde em Israel, e organizações no Golfo, em Chipre e na Romênia. O Reino Unido é a adição mais recente à lista, não a primeira.

A pergunta que os especialistas fizeram primeiro

Quase todo mundo ouvido sobre o caso convergiu para o mesmo ponto, e não é a atribuição. É o tempo de recuperação.

"O significativo não é o tamanho da instalação, mas o fato de um ataque cibernético ter se convertido em quatro dias de interrupção operacional real", disse Muhammad Yahya Patel, vCISO e consultor da Huntress para a região EMEA. "Isso levanta uma pergunta importante: por que a recuperação levou quatro dias, e será que operadores menores estão preparados para conter e se recuperar desse tipo de incidente?"

Phil Tonkin, field CTO da Dragos, foi na mesma direção com um alerta adicional sobre escala: a perda de uma instalação isolada é gerenciável e não ameaça a estabilidade do sistema, mas ataques desse tipo costumam ser bastante repetíveis e podem ser aplicados em larga escala.

Rafael Narezzi, CEO da Centrii, resumiu o incômodo de forma que interessa diretamente a quem opera geração distribuída na América Latina. Segundo ele, o que preocupa não é o porte do gerador atingido, mas quantos outros estão na mesma condição. E completa: o Reino Unido tem milhares de ativos distribuídos que contribuem cada vez mais para o funcionamento do sistema elétrico; individualmente muitos parecem irrelevantes, mas o conjunto importa enormemente.

Graeme Stewart, responsável por setor público na Check Point, foi o mais duro na avaliação política: uma ameaça estatal hostil alcançou a infraestrutura energética britânica e provocou uma parada física de quatro dias, e o fato de o gerador ser pequeno não reduz o problema. O que os atacantes demonstraram foi capacidade de entrar e fazer parar.

Por que quatro dias é o número que importa

Em ambiente de tecnologia da informação, quatro dias de indisponibilidade é um incidente grave. Em ambiente de tecnologia operacional, é outra categoria de problema, porque a recuperação raramente é só restaurar backup. Envolve validar integridade de controlador lógico programável, confirmar que a lógica de intertravamento não foi alterada, testar em condição controlada e só então religar. Cada uma dessas etapas depende de documentação atualizada e de alguém que conheça a planta.

Operadores pequenos costumam ter os dois recursos escassos. Não porque sejam negligentes, mas porque o modelo econômico da geração distribuída não comporta equipe de resposta a incidente dedicada. É aí que mora a assimetria: o custo de atacar cai com a repetição, o custo de responder não.

O paralelo latino-americano

Dimensão	Leitura para o setor elétrico regional
Fragmentação de ativos	Geração distribuída, PCHs e parques solares e eólicos multiplicaram o número de operadores. Cada um é um perímetro próprio, com maturidade e orçamento próprios.
Visibilidade regulatória	Requisitos de reporte de incidente cibernético para agentes do setor elétrico ainda são heterogêneos na região, o que dificulta saber se um caso equivalente já ocorreu por aqui.
Tempo de recuperação	É a métrica que separa incidente de crise. Vale medir em exercício, não descobrir durante o evento.
Motivação geopolítica	Ataque com origem estatal não escolhe alvo por relevância econômica. Escolhe por acesso disponível e por efeito demonstrativo.

Leitura LATAMSEC

Sobre o caso britânico, praticamente tudo o que se sabe vem de uma única reportagem. Não há relatório técnico, não há indicador de comprometimento, não há confirmação oficial. Isso limita muito o que dá para aprender sobre a técnica usada, e é uma limitação que precisa ser dita antes de qualquer conclusão.

O que dá para aprender é sobre postura. Um ativo considerado pequeno demais para figurar em plano nacional de proteção parou por quatro dias. Se a mesma pergunta for feita ao setor elétrico brasileiro ou latino-americano, quantos operadores conseguiriam responder, com evidência, qual seria o tempo de retorno da própria planta depois de um comprometimento no ambiente de controle?

Não é pergunta retórica. É item de pauta para conselho de administração, e tem resposta verificável: existe exercício de recuperação documentado nos últimos doze meses? Existe inventário de ativos de OT com responsável nomeado? Existe caminho de rede entre o ambiente corporativo e o de controle que ninguém consegue explicar em uma reunião?

A parte incômoda dessa história é que o incidente foi pequeno o suficiente para ser esquecido em uma semana. E é exatamente por isso que ele merece atenção agora: o próximo pode não ser.