Segurança para Óleo e Gás: anatomia da defesa de redes OT contra ransomware, sabotagem e espionagem

Por que óleo e gás virou alvo prioritário de ataques cibernéticos

O setor de óleo e gás concentra três características que o tornam um dos alvos mais cobiçados por adversários cibernéticos: alto valor econômico, criticidade nacional e dependência de sistemas de automação industrial que foram projetados décadas atrás, quando a internet e a ameaça cibernética não faziam parte do modelo de risco. Uma refinaria, um terminal de dutos ou uma plataforma de produção é, ao mesmo tempo, um ativo financeiro bilionário, uma peça da infraestrutura crítica do país e um ambiente onde uma falha de controle pode causar dano físico, ambiental e humano. Essa combinação atrai desde grupos de ransomware com motivação financeira até atores patrocinados por Estados interessados em espionagem e em pré-posicionamento para sabotagem.

A diferença fundamental entre proteger um banco e proteger uma refinaria está na natureza do que pode dar errado. Em TI tradicional, o pior caso costuma ser vazamento de dados ou indisponibilidade de um serviço. Em OT (Operational Technology), o pior caso é a perda de controle sobre um processo físico: uma válvula que deveria fechar e não fecha, um sensor de pressão adulterado, uma lógica de intertravamento de segurança burlada. Por isso, no setor de óleo e gás a tríade clássica da segurança da informação — confidencialidade, integridade e disponibilidade — se inverte: disponibilidade e integridade do processo vêm primeiro, e qualquer ação de defesa precisa ser pensada para não criar, ela mesma, um risco operacional.

O que está em jogo quando a OT é comprometida

Outro fator que eleva o risco é a convergência IT/OT. Para ganhar eficiência — telemetria em tempo real, manutenção preditiva, dashboards executivos, integração com ERP — as empresas conectaram redes industriais que historicamente eram isoladas (air-gapped) à rede corporativa e, por tabela, à internet. Essa convergência trouxe valor de negócio real, mas também abriu caminhos que antes não existiam. Hoje, a esmagadora maioria das intrusões em ambientes OT não começa na OT: começa na TI, por phishing, por uma VPN mal configurada, por uma credencial vazada ou por um fornecedor comprometido, e só então migra lateralmente para o ambiente industrial.

As cinco ameaças que mais atingem refinarias, dutos e plataformas

As ameaças ao setor de óleo e gás não são abstratas. Elas seguem padrões observáveis, e entender cada vetor é o primeiro passo para defender. A Decripte estrutura a defesa em torno dos cinco riscos mais relevantes para o setor.

1. Ataques a sistemas OT de refino e dutos

Sistemas SCADA, PLCs (Controladores Lógicos Programáveis), RTUs (Remote Terminal Units) e DCS (Distributed Control Systems) controlam o coração físico da operação: temperatura de torres de destilação, pressão em dutos, vazão em terminais, abertura de válvulas. Muitos desses dispositivos usam protocolos industriais sem autenticação nativa — Modbus, DNP3, OPC clássico — projetados para confiabilidade, não para segurança. Um atacante com acesso de rede ao segmento OT pode, em tese, enviar comandos que alteram setpoints ou desabilitam alarmes. O ataque mais perigoso não derruba o sistema: ele o mantém de pé enquanto manipula a lógica de forma sutil.

2. Ransomware com parada operacional

O ransomware é hoje a ameaça de maior impacto econômico para o setor. Mesmo quando o malware atinge apenas a rede corporativa, a empresa frequentemente decide parar a operação por precaução — porque não consegue garantir que a OT não foi afetada. Essa parada preventiva, em uma refinaria ou em um terminal de dutos, custa milhões por dia e pode ter efeitos em cadeia no abastecimento. O objetivo do atacante é exatamente esse: usar a criticidade do processo como alavanca de extorsão.

3. Espionagem e roubo de dados estratégicos

Dados sísmicos, reservas, fórmulas de processo, projetos de engenharia, contratos e estratégias de leilão são ativos de altíssimo valor. Atores de espionagem — concorrentes ou patrocinados por Estados — buscam exfiltrar essa informação de forma silenciosa, muitas vezes mantendo acesso por meses sem disparar a operação. É o tipo de ameaça que não causa parada, mas corrói vantagem competitiva e soberania.

4. Sabotagem cibernética

A sabotagem é o cenário de pré-posicionamento: o atacante invade, mapeia e mantém acesso latente à OT, esperando o momento de causar dano físico. É a ameaça mais grave em termos de segurança nacional, porque pode resultar em explosões, vazamentos ambientais ou desabastecimento. Defender contra sabotagem exige detectar a presença do adversário muito antes da ação final.

5. Comprometimento de fornecedores (supply chain)

A cadeia de suprimentos de uma operação de óleo e gás envolve dezenas de terceiros com acessos remotos, VPNs dedicadas e, às vezes, contas de manutenção esquecidas e sem MFA. O ataque à cadeia de suprimentos não precisa de uma vulnerabilidade na sua planta — precisa apenas de uma falha no parceiro que tem a chave da sua porta. Gerir esse risco exige inventário de acessos de terceiros, segregação dos canais de acesso remoto e monitoramento contínuo do que cada fornecedor faz dentro da rede.

O modelo de segurança OT que a Decripte aplica: zonas, conduítes e o modelo Purdue

A espinha dorsal da defesa industrial é a segregação. O padrão internacional de referência para segurança de automação é a série IEC 62443, que organiza o ambiente em zonas (grupos de ativos com mesmo nível de criticidade e requisito de segurança) e conduítes (os canais controlados de comunicação entre zonas). Sobre essa lógica se sobrepõe o Modelo Purdue, que estratifica a operação em níveis: do Nível 0 (sensores e atuadores físicos) ao Nível 4/5 (rede corporativa e internet), passando pelo controle de processo (Nível 1-2), pela supervisão (SCADA/DCS) e por uma zona desmilitarizada industrial (IDMZ) entre OT e TI.

A IDMZ industrial: a fronteira que impede a migração IT→OT

A maioria dos incidentes graves acontece porque não existe uma fronteira real entre a rede corporativa e a rede de controle. A IDMZ é essa fronteira: nenhum tráfego deve atravessar diretamente da TI para a OT. Dados de telemetria que precisam chegar ao ERP passam por servidores intermediários (data brokers, historians replicados) dentro da IDMZ, de modo que um comprometimento na TI não tenha caminho direto para os PLCs. Quando a Decripte assume um ambiente, mapear e endurecer essa fronteira é uma das primeiras prioridades.

É importante destacar o que segregação NÃO é: não é simplesmente colocar um firewall entre TI e OT e considerar o trabalho feito. Segregação real significa que cada zona tem política própria, que os conduítes carregam apenas o tráfego estritamente necessário, que existe monitoramento dentro de cada zona (não só na borda) e que o acesso remoto — o vetor preferido dos atacantes — é estritamente controlado, mediado por jump hosts e auditado.

Anatomia de uma intrusão na rede OT de uma refinaria (cenário ilustrativo)

Imagine uma refinaria de médio porte com rede corporativa convergida à rede OT para telemetria em tempo real. O ataque não começa na OT — começa, como quase sempre, na TI. Um e-mail de spear-phishing direcionado a um engenheiro de processo entrega um implante que estabelece acesso remoto à estação dele. A estação, por estar na rede corporativa mas ter conectividade com a estação de engenharia da OT (uma exceção de firewall criada anos antes 'para facilitar manutenção'), torna-se a ponte. A partir daí o atacante faz reconhecimento silencioso: mapeia o historian, identifica os PLCs, observa os protocolos Modbus e OPC trafegando. O objetivo é ransomware com componente de extorsão pela ameaça de parada.

O que falhou e o que salvou

O que permitiu a entrada foi a combinação clássica: phishing bem-sucedido, ausência de MFA na conta do engenheiro e uma regra de firewall IT→OT que nunca deveria ter existido. O que evitou a catástrofe foi o monitoramento OT da Decripte: o tráfego anômalo entre a estação de engenharia e os PLCs — comandos de leitura em massa de configuração que não correspondiam a nenhuma janela de manutenção — disparou um alerta no SOC. A detecção aconteceu na fase de reconhecimento, antes da criptografia e antes de qualquer manipulação de processo.

Como a Decripte responde a um incidente industrial sem parar a planta

A resposta a incidentes em ambientes OT segue uma lógica diferente da TI tradicional. O princípio que rege cada decisão é a segurança de processo: nenhuma ação de contenção pode criar um risco físico maior do que o próprio ataque. Isso significa, por exemplo, que isolar a OT da TI é quase sempre seguro e desejável, mas desligar um servidor SCADA ou um PLC pode levar o processo a um estado perigoso. Por isso a Decripte trabalha com operação e engenharia da planta lado a lado, nunca de forma isolada.

Contenção cirúrgica, não desligamento em massa

A primeira ação de contenção em um incidente OT é cortar a propagação no ponto certo: tipicamente, isolar a rede corporativa da rede de controle reforçando ou fechando os conduítes da IDMZ, enquanto a OT continua operando em modo seguro e monitorado. Isola-se o caminho do atacante sem desligar o que mantém a planta estável. Em paralelo, contas comprometidas são revogadas, acessos de terceiros são suspensos e o tráfego de comando para os PLCs passa a ser inspecionado em tempo real.

Após a contenção, vem a erradicação — remover o acesso do atacante de forma completa, não parcial. Erradicação mal feita é o motivo mais comum de reincidência: o atacante volta porque um implante secundário, uma conta de serviço ou um acesso de fornecedor foi esquecido. A Decripte só declara erradicação concluída após análise forense que reconstrói toda a cadeia de acesso. Em seguida, a recuperação restaura sistemas a partir de backups validados e reintegra zonas de forma controlada, monitorando cada passo. Por fim, as lições aprendidas viram melhorias concretas de arquitetura e detecção.

O papel do SOC 24x7 na defesa de óleo e gás

Em um setor onde o atacante pode permanecer meses em silêncio antes de agir, a detecção contínua é o que separa a empresa que descobre o adversário na fase de reconhecimento daquela que o descobre quando o ransomware já detonou. O SOC 24x7 da Decripte monitora simultaneamente os domínios IT e OT, correlacionando eventos: um login anômalo na TI seguido de tráfego incomum em direção à OT é o tipo de sinal que, isolado, passa despercebido, mas que correlacionado dispara investigação imediata.

O SOC não é apenas tecnologia — é um time de analistas que entende o contexto industrial. Detectar Modbus ou DNP3 é diferente de detectar tráfego HTTP: exige saber o que é comportamento normal de um processo de refino, quais janelas de manutenção são legítimas e quais setpoints fazem sentido. Essa especialização é o que reduz falsos positivos a um nível em que os alertas reais não se perdem no ruído. O SOC alimenta diretamente a Resposta a Incidentes: quando algo real acontece, não há transferência de contexto — o mesmo ecossistema que detectou já entrega a investigação ao time de contenção.

Detecção que entende o processo, não só o pacote

A maturidade do monitoramento OT está em correlacionar o cibernético com o físico. Um comando para alterar um setpoint pode ser perfeitamente válido em sintaxe de protocolo, mas anômalo no contexto operacional — e é exatamente esse tipo de anomalia, invisível para ferramentas genéricas, que o SOC especializado da Decripte é construído para capturar.

Conformidade e governança: ISO 27001, LGPD e os marcos do setor

Segurança no setor de óleo e gás não é só técnica — é também regulatória e contratual. A operação está sujeita a um conjunto crescente de exigências de governança, e demonstrar maturidade de segurança é cada vez mais condição para parcerias, contratos públicos e seguros. A Decripte estrutura a conformidade de forma que ela reforce a segurança real, não vire apenas papel para auditoria.

Sobre a LGPD: embora o foco do setor seja a proteção do processo industrial, há volume relevante de dados pessoais — colaboradores, prestadores, contratos — sujeitos à Lei Geral de Proteção de Dados e à fiscalização da ANPD (Autoridade Nacional de Proteção de Dados). Um incidente que exponha esses dados gera obrigação de notificação e potencial sanção. A Decripte trata a conformidade LGPD como parte do programa de segurança, integrando-a ao plano de resposta a incidentes para que, em caso de vazamento, a comunicação ao titular e à autoridade aconteça dentro do que a lei exige.

Pentest com escopo OT: encontrar a falha antes que o atacante a encontre

O Pentest no contexto de óleo e gás precisa de cuidado redobrado. Um teste de intrusão mal conduzido em um ambiente OT pode, ele mesmo, causar um incidente operacional. Por isso a Decripte conduz pentests industriais com metodologia adaptada: testes ativos e agressivos ficam restritos à TI e à IDMZ, enquanto a avaliação da OT prioriza análise de arquitetura, revisão de configuração, validação de segregação e testes passivos. O objetivo é mapear o caminho que um atacante real percorreria — tipicamente da TI para a OT — e demonstrar onde a fronteira falha.

O que um pentest de óleo e gás revela

Cada achado vem acompanhado de uma recomendação priorizada por risco real ao processo, não por severidade genérica de CVSS. Uma vulnerabilidade que abre caminho da TI para os PLCs de uma unidade crítica vale mais atenção do que uma falha de severidade nominalmente alta, mas isolada em um segmento sem impacto operacional. Essa priorização contextual é o que transforma o relatório de pentest em um plano de ação executável.

Por onde começar: do diagnóstico gratuito ao programa completo

A pior hora para descobrir a fragilidade da sua arquitetura OT é durante um incidente. A melhor é agora, em condições controladas. A Decripte oferece um caminho de adoção gradual que começa sem custo e evolui conforme a maturidade e a criticidade do ambiente.

A partir do diagnóstico, o programa se estrutura nas frentes certas para o seu risco: SOC 24x7 para detecção contínua em IT e OT, Resposta a Incidentes com SLA de contenção de até 1 hora para garantir que, quando algo acontecer, a contenção seja rápida e cirúrgica, Pentest com escopo industrial para encontrar as falhas antes do adversário, e Conformidade para dar governança e respaldo regulatório ao conjunto. Para falar com um especialista e desenhar o escopo, use decripte.io/start ou o formulário em /contato.

Anatomia de uma intrusão na rede OT de uma refinaria (cenário ilustrativo)

Como a Decripte responde a um incidente em ambiente de óleo e gás

A resposta a incidentes industriais segue uma regra inegociável: nenhuma ação de contenção pode criar um risco físico maior do que o próprio ataque. Cada passo é coordenado com a engenharia de processo da planta.

1. Triagem e correlação IT/OT: o SOC valida o alerta, correlaciona sinais de TI e OT e determina rapidamente se o incidente toca a rede de controle ou está restrito à corporativa.
2. Avaliação de segurança de processo: antes de qualquer ação, o time avalia o impacto físico de cada opção de contenção junto à operação — desligar um servidor SCADA pode ser mais perigoso que o ataque.
3. Contenção cirúrgica: isola-se o caminho do atacante no ponto certo, tipicamente fechando os conduítes da IDMZ entre TI e OT, sem desligar o que mantém a planta em estado seguro, dentro do SLA de contenção de até 1 hora.
4. Revogação de acessos: contas comprometidas são desativadas, acessos de fornecedores e terceiros suspensos e o tráfego de comando para PLCs passa a ser inspecionado em tempo real.
5. Erradicação completa com forense: reconstrução da cadeia de acesso para remover todos os mecanismos de persistência — implantes secundários, contas de serviço, acessos esquecidos — evitando reincidência.
6. Recuperação controlada: restauração a partir de backups validados e reintegração gradual e monitorada das zonas, com a conectividade IT/OT retomando apenas pelos conduítes endurecidos.
7. Comunicação e conformidade: gestão das obrigações regulatórias (LGPD/ANPD quando há dados pessoais expostos) e comunicação estruturada a stakeholders, com cronologia documentada.
8. Lições aprendidas e hardening: as causas-raiz viram melhorias concretas de arquitetura, política de acesso e novas regras de detecção no SOC.

Como a Decripte estrutura a segurança de óleo e gás

A defesa do setor se apoia em quatro pilares integrados, que cobrem prevenção, detecção e resposta sem deixar a OT sem visibilidade nem a planta exposta a risco operacional.

Planos recomendados para Moda e Vestuário

Perguntas frequentes

Termos do setor

OT (Operational Technology)

Tecnologia operacional — o conjunto de hardware e software que monitora e controla processos físicos industriais (PLCs, RTUs, SCADA, DCS). Diferente da TI, sua prioridade é disponibilidade e segurança de processo, não confidencialidade de dados.

SCADA

Supervisory Control and Data Acquisition — sistema de supervisão e aquisição de dados que permite operadores monitorarem e controlarem processos industriais (refino, dutos, terminais) a partir de centros de controle.

IEC 62443

Série de normas internacionais para segurança de sistemas de automação e controle industrial. Define o modelo de zonas e conduítes que estrutura a segregação entre redes industriais e corporativas.

Modelo Purdue

Modelo de referência que estratifica a operação industrial em níveis, do Nível 0 (sensores e atuadores físicos) ao Nível 4/5 (rede corporativa e internet), com uma IDMZ industrial separando OT de TI.

IDMZ

Zona desmilitarizada industrial — fronteira controlada entre a rede corporativa e a rede de controle, que impede tráfego direto IT→OT e bloqueia a migração de um comprometimento da TI para os sistemas industriais.

PLC

Controlador Lógico Programável — dispositivo que executa a lógica de controle dos processos físicos (abertura de válvulas, controle de pressão e temperatura). Muitos usam protocolos sem autenticação nativa, como Modbus.