O ataque cibernético detalhado pelo CERT Polska em agosto de 2026 desafia uma das crenças mais arraigadas entre gestores de infraestrutura crítica: a de que redes privadas de operadoras (APN) oferecem proteção suficiente para sistemas industriais. O caso, que comprometeu uma usina de cogeração responsável por abastecer cerca de 50 mil pessoas, expôs vulnerabilidades pouco discutidas em ambientes de tecnologia operacional (OT) conectados por redes celulares privadas.

Ao contrário do que muitos esperavam, a invasão não partiu de um ataque direto à rede corporativa tradicional, mas sim de um movimento lateral iniciado em um parque eólico, explorando falhas em dispositivos de segurança e roteadores celulares. O episódio levanta questões incômodas para empresas que dependem de APNs privadas para conectar ativos industriais, especialmente diante da tendência de digitalização do setor elétrico e de utilities.

Como o ataque se desenrolou: falhas em vários pontos da cadeia

Segundo o relatório do CERT Polska, o ataque começou com o comprometimento de um dispositivo FortiGate no parque eólico, utilizado como firewall e concentrador VPN. O equipamento, cuja interface VPN estava exposta à internet e não exigia autenticação multifator, permitiu ao invasor obter privilégios administrativos. A partir desse ponto, o atacante identificou um roteador celular Teltonika RUTX50, que fornecia acesso ao APN privado do Operador do Sistema de Distribuição (DSO).

Apesar da senha padrão do roteador ter sido alterada durante a implantação, os investigadores não conseguiram determinar como a nova senha foi obtida pelo atacante, nem se houve exploração de alguma vulnerabilidade desconhecida no dispositivo. Com o acesso ao roteador, foi possível estabelecer um túnel SSH para o APN privado, abrindo caminho para a fase seguinte do ataque.

O invasor então escaneou a rede APN em busca de serviços e protocolos industriais, localizando um controlador WAGO PFC200 na usina de cogeração. Este controlador expunha sua interface web administrativa com credenciais padrão, facilitando a habilitação do serviço SSH e o acesso à rede OT da usina. Entre 18 e 25 de dezembro de 2025, o atacante realizou atividades de reconhecimento, incluindo varreduras e tentativas de acesso a dispositivos críticos.

Impacto operacional: desligamento e destruição de evidências

Em 29 de dezembro, o invasor executou ações destrutivas: três controladores Siemens foram colocados em modo STOP e protegidos por senha, levando ao desligamento da turbina a vapor e do sistema de tratamento de água. Além disso, servidores seriais Moxa e switches tiveram configurações restauradas para o padrão de fábrica, senhas alteradas e endereços IP definidos como inacessíveis, dificultando a recuperação dos sistemas.

O CERT Polska avaliou, com alto grau de confiança, que essas ações foram automatizadas. Após o ataque, o invasor corrompeu a tabela de partições do controlador WAGO, impedindo sua reinicialização e destruindo logs que poderiam ser usados na investigação. O roteador Teltonika e o FortiGate também foram resetados, numa tentativa clara de eliminar rastros e atrasar a resposta da equipe de segurança.

Apesar da gravidade das ações, o relatório afirma que o fornecimento de calor e eletricidade à população não foi afetado, embora a cogeração tenha sido temporariamente interrompida. O episódio, no entanto, evidencia o potencial de danos em ataques a redes industriais conectadas por APN privada, especialmente quando práticas básicas de segurança não são seguidas.

O papel do APN privado: isolamento insuficiente e riscos subestimados

O vetor de ataque identificado pelo CERT Polska é considerado inédito: o acesso não autorizado à rede OT por meio de um APN privado. O relatório destaca que, até então, não havia registro de incidentes reais utilizando esse caminho para comprometer infraestruturas críticas. O principal fator que permitiu o sucesso do ataque foi a ausência de isolamento entre clientes no APN, além do uso de credenciais padrão em dispositivos industriais acessíveis pela rede privada.

O CERT Polska recomenda que organizações que utilizam APNs privados realizem auditorias de configuração, implementem isolamento entre clientes e tratem o APN como uma rede não confiável. O relatório enfatiza que, caso a rede esteja fora do controle direto da organização, sem possibilidade de auditoria dos mecanismos de segurança, ela deve ser considerada tão arriscada quanto a internet pública.

Essas recomendações contrariam a prática comum de tratar APNs privados como ambientes seguros por padrão, uma percepção ainda difundida em muitos setores industriais e de energia. O caso mostra que, sem controles adicionais, o APN pode se tornar um elo fraco na cadeia de defesa cibernética.

Contra-argumentos e limitações: o que ainda não se sabe

Apesar da contundência do relatório do CERT Polska, algumas dúvidas permanecem. Os investigadores não conseguiram determinar de que forma o atacante obteve a senha alterada do roteador Teltonika, nem se houve exploração de vulnerabilidades ainda desconhecidas. Outra limitação importante é a ausência de informações detalhadas sobre as configurações de isolamento do APN do DSO, o que impede uma avaliação mais precisa sobre a responsabilidade da operadora na exposição dos ativos industriais.

Empresas do setor de telecomunicações frequentemente argumentam que a segurança do APN depende das políticas de cada cliente, e que a implementação de isolamento entre clientes é opcional. Por outro lado, especialistas em segurança industrial alertam que a complexidade das redes OT e a diversidade de dispositivos conectados tornam insuficiente a simples confiança em mecanismos de rede privada, sem monitoramento centralizado e políticas de acesso restritas.

O caso também evidencia a dificuldade de rastreamento e resposta a incidentes quando logs e configurações são destruídos, um risco agravado pela automação dos ataques e pela falta de visibilidade sobre os dispositivos conectados ao APN.

Implicações para empresas: o que muda na prática

O ataque à usina de cogeração relatado pelo CERT Polska serve como alerta para empresas que operam infraestruturas críticas ou industriais conectadas por APN privada, especialmente no contexto de digitalização acelerada e integração de ativos remotos. A crença de que o APN oferece proteção suficiente contra ameaças externas se mostra equivocada diante da possibilidade de movimentação lateral a partir de outros pontos da rede, como parques eólicos ou dispositivos de terceiros.

Para organizações do Polo Industrial de Manaus e de setores como energia, saneamento e manufatura, o episódio reforça a necessidade de revisar políticas de acesso, auditar configurações de APN e tratar qualquer rede fora do controle direto como potencialmente hostil. A exposição de interfaces administrativas, o uso de credenciais padrão e a ausência de monitoramento centralizado são fatores que aumentam significativamente o risco operacional e podem comprometer a continuidade do negócio.

Além disso, o caso ilustra a importância de exigir contratos claros com operadoras de telecomunicações, incluindo garantias de isolamento, possibilidade de auditoria e transparência sobre as configurações de rede. A dependência de dispositivos de terceiros e a falta de visibilidade sobre o tráfego interno do APN podem transformar uma rede privada em um vetor de ataque tão perigoso quanto a internet pública.

Conclusão: infraestrutura sob suspeita e o desafio do controle real

O ataque detalhado pelo CERT Polska expõe a fragilidade de confiar exclusivamente em APNs privados para proteger ativos industriais críticos. O movimento lateral iniciado em um parque eólico, passando por um roteador celular e explorando credenciais padrão, mostra que a verdadeira segurança depende do controle efetivo sobre cada elo da cadeia, e não apenas da configuração da rede. Para empresas de Manaus e de todo o país, o episódio é um chamado à ação: revisar contratos, auditar acessos e tratar qualquer rede não auditável como potencial ameaça é o novo padrão para quem não pode se dar ao luxo de paradas inesperadas ou investigações sem rastros.