Cibersegurança Industrial em Ascensão: Como Malware Genérico Ameaça Todos os Setores

Até recentemente, organizações industriais pareciam amplamente imunes a violações cyber. Cobertura inicial de segurança de IIoT focou em punhado de incidentes de alto perfil: o ataque Stuxnet de 2010 em centrífugas iranianas, uma violação de 2014 que danificou uma usina de aço alemã não nomeada, e o hack de 2015 na rede elétrica ucraniana que deixou aproximadamente 230.000 pessoas sem eletricidade.

Desde cerca de 2015, no entanto, a frequência de tais ataques subiu, atingindo uma gama crescente de empresas. "Estamos vendo a paisagem de ameaças industriais mudar de infraestrutura crítica para um problema mais amplo, em toda a indústria, por todo o mercado IIoT", diz Yoni Shohet, co-fundador e vice-presidente de desenvolvimento de negócios na SCADAfence.

[Internet of Things World é onde empresas industriais encontram inovação IoT. Reserve seu passe de conferência e economize $350, ganhe passe de expo grátis ou veja palestrantes IIoT no evento.]

Evidências concretas suportam esta tendência. Em 2017, o ransomware NotPetya, que custou à gigante alimentícia dos EUA Mondelez (fabricante de Oreos e Cadbury) $100 milhões em danos, teve cobertura negada pelo Zurich Insurance Group — caso que levou a processo judicial. O mesmo malware devastou a Merck, custando à farmacêutica centenas de milhões em vendas perdidas, conforme relatado em seu relatório anual de 2017. Naquele ano, WannaCry paralisou uma instalação da Honda na Prefeitura de Saitama e interrompeu produção em várias plantas da Renault-Nissan. Em 2018, pesquisadores descobriram Triton (também conhecido como Trisis), malware projetado para sobrescrever sistemas de desligamento de emergência em uma instalação não nomeada no Oriente Médio.

O fato de que malware commodity como WannaCry, Petya e NotPetya atingiu múltiplas empresas industriais e empresariais demonstra que firmas podem sofrer ataques devastadores sem serem especificamente alvos. "Você pode apenas ter o dispositivo conectado errado no local errado", explica Shohet.

Uma questão chave é a natureza lenta de muitos ambientes industriais. Diferente de tecnologia de consumo, onde dispositivos são frequentemente substituídos a cada poucos anos, sistemas industriais podem permanecer em operação por décadas. Esta longevidade significa que computadores de controle frequentemente rodam sistemas operacionais desatualizados como Windows XP ou Windows Server 2003, e controladores lógicos programáveis legados ainda estão em uso. Embora "air-gapping" possa teoricamente mitigar risco, manter um verdadeiro air-gap ao longo do tempo é desafiador.

Consequentemente, um número crescente de empresas industriais está reconhecendo as apostas financeiras — potencialmente milhões de dólares em danos ou destruição mais ampla. Cibersegurança não é mais um pensamento posterior; agora é integral à estratégia corporativa. Um estudo de 2019 do Fórum Econômico Mundial classificou cibersegurança como o quinto maior risco de negócio por probabilidade, com roubo de dados e fraude em quarto. Em rankings de risco de curto prazo, ciberataques foram o quarto maior para perda de dados ou monetária e quinto para disrupção operacional.

Investimento em cibersegurança está crescendo. Gartner projeta gastos globais em segurança da informação atingirem $124 bilhões este ano. No setor industrial, o foco inicial em petróleo, gás e utilidades está cedendo lugar a um impulso mais amplo em todos os setores para reforçar orçamentos de segurança.

À medida que adoção de tecnologia acelera, investimento contínuo em cibersegurança se tornará indispensável. Embora IA ofereça ferramentas para automatizar proteção de endpoints, também equipa adversários para identificar vulnerabilidades e ocultar malware. Pesquisa da IBM, por exemplo, demonstrou a possibilidade de embutir WannaCry dentro de um programa de videoconferência, ativando-o apenas quando uma câmera detecta um alvo. Estes desenvolvimentos, aliados à ameaça crescente à infraestrutura industrial e crítica, ressaltam a necessidade de posturas de segurança vigilantes e proativas.