Presença Silenciosa em Vez de Extorsão: Características das Ciberameaças Nacionais na Indústria

A indústria russa está passando por uma transformação digital em larga escala e uma substituição de importações forçada. No entanto, o outro lado desse processo foi um aumento acentuado do interesse de invasores altamente qualificados.

Observamos uma diferença significativa nas abordagens de ataques cibernéticos à indústria: enquanto em todo o mundo a indústria sofre com vírus de ransomware clássicos e criptografadores que exigem resgate, na Rússia o foco mudou completamente para a ciberespionagem complexa e a fixação oculta profunda na infraestrutura de TI.

Neste artigo, analisaremos os principais dados sobre ataques ao setor industrial russo, analisaremos as táticas dos grupos de ataque, as especificidades das ferramentas usadas, os pontos vulneráveis ​​do segmento tecnológico, além de considerar medidas práticas para implementar o conceito de cibersegurança eficaz na produção.

Indústria na mira: liderança absoluta no número de ataques

Nos últimos dois anos, a intensidade dos ataques cibernéticos ao segmento industrial cresceu a um ritmo mais rápido do que em todos os outros setores da economia russa. Se, no final de 2024, as empresas industriais representassem cerca de 16% do número total de incidentes bem-sucedidos no país, em 2025 essa participação aumentou para 19%. Isso permitiu que o setor de manufatura ocupasse o primeiro lugar estável no anti-ranking das indústrias mais atacadas. Essa tendência alarmante é totalmente mantida no atual ano de 2026.

Tal interesse constante por parte dos atacantes é devido à importância estratégica da indústria. Incidentes em grandes instalações são capazes não apenas de paralisar os negócios de uma entidade legal, mas também de causar uma reação em cadeia em toda a economia nacional. Os segmentos relacionados dependem diretamente do trabalho estável das fábricas: a indústria de transporte, cadeias logísticas, construção de capital e varejo. Além disso, um ataque bem-sucedido à infraestrutura crítica acarreta riscos diretos de interrupção da vida dos cidadãos - desde a interrupção do fornecimento de eletricidade e calor até falhas no fornecimento de alimentos e desastres ambientais.

Setores industriais atacados na Rússia (2024–2025)

Durante o período em análise, a atividade de 55 grupos criminosos cibernéticos profissionais (grupos APT e hacktivistas) foi registrada no setor de manufatura russo. O elemento mais vulnerável e atraente para os invasores dentro do circuito industrial são as empresas de energia e o complexo de combustível e energia (FEC). Eles representaram 22% de todos os incidentes registrados na indústria. O alto nível de automação dos processos tecnológicos e a importância crítica para o funcionamento do estado tornam o FEC o principal alvo de operações direcionadas complexas.

Especificidades nacionais de ataques: espionagem contra extorsão

Observamos uma diferença fundamental entre as tendências globais de crimes cibernéticos e as especificidades russas. Na prática global, o principal pesadelo para os gigantes industriais são grupos financeiramente motivados que usam ransomware. De acordo com estatísticas globais, o ransomware com criptografia de dados representa até 54% de todos os ataques cibernéticos industriais no mundo. A lógica dos hackers é simples: parar a linha de montagem de uma grande montadora ou combinada metalúrgica, após o que exigir um resgate multimilionário pela chave do decodificador, esperando que seja mais barato para a empresa pagar do que sofrer perdas de vários dias devido ao tempo de inatividade.

Na Rússia, a situação parece completamente diferente. A distribuição dos motivos dos 55 grupos que atacaram as fábricas domésticas é a seguinte:

• Ciberespionagem (ataques APT) - 47% dos incidentes. Estes são os líderes absolutos da paisagem de ameaças. Seu objetivo não é o lucro financeiro rápido, mas o roubo de propriedade intelectual, obtenção de acesso à documentação de projeto, planos de modernização de empresas e contratos governamentais fechados.
• Hacktivismo politicamente motivado - 28% dos incidentes. Esses grupos visam causar o máximo de danos à reputação, realizar ataques destrutivos (usando os chamados wipers, destruindo dados sem a possibilidade de recuperação) ou desfigurar recursos da web para demonstrar a vulnerabilidade dos sistemas.
• Criminosos financeiramente motivados - 25% dos incidentes. Isso inclui ransomware clássico, mas mesmo eles, nas realidades russas, começaram a recorrer com mais frequência à tática de “extorsão pura”, quando os dados não são criptografados, mas são secretamente bombeados com a ameaça de sua publicação ou transferência para concorrentes.

Assim, a prioridade para a maioria dos atacantes na Federação Russa tem sido a comprometimento de longo prazo da infraestrutura e a coleta de dados confidenciais, e não a apresentação imediata de demandas financeiras. Os invasores se esforçam para permanecer despercebidos pelos serviços de segurança de TI o maior tempo possível.

Ferramentas de ataque: o triunfo do malware

A análise dos métodos de ataque demonstra uma mudança qualitativa no arsenal técnico dos hackers. A participação de incidentes com o uso de software malicioso (malware) no setor industrial russo mostrou um crescimento explosivo, aumentando de 56% em períodos anteriores para impressionantes 83% na estrutura das ameaças atuais. O segundo método mais popular foi a engenharia social, registrada em 71% dos casos (muitas vezes esses métodos são combinados: um e-mail de phishing serve como um vetor de acesso inicial para a entrega de malware).

Se você detalhar a estrutura do software malicioso usado, as ferramentas para fixação de longo prazo vêm à tona:

• Malware para controle remoto, RAT (Remote Access Trojans) - usado em 55% dos casos. Esse alto indicador confirma diretamente a tese do desejo dos hackers de organizar uma presença oculta. Tendo obtido o controle de um servidor ou estação de trabalho de um engenheiro, os invasores podem passar meses estudando a topologia da rede, coletando credenciais e esperando o momento certo para a movimentação lateral.
• Spyware - registrado em 33% dos incidentes. Os programas espiões são projetados para coletar automaticamente senhas, interceptar pressionamentos de teclas (keyloggers), copiar arquivos de extensões específicas e enviar essas informações para os servidores de comando (C2) dos atacantes.

A alta participação de ferramentas ocultas indica que os meios de proteção de perímetro e análise de assinatura em endpoints não estão mais lidando com a detecção de ameaças avançadas. Os invasores usam ativamente utilitários de administração legítimos (tática living off the land), túneis legais e wrappers personalizados para seu código, o que lhes permite imitar o tráfego legítimo de sistemas internos por anos.

Vetores de penetração e setor tecnológico

A maior ameaça para qualquer instalação industrial são as ações de invasores dentro do segmento tecnológico da rede - na zona OT, onde os sistemas automatizados de controle de processos tecnológicos (APCS), controladores lógicos programáveis (PLCs) e sistemas SCADA operam.

A penetração na rede tecnológica geralmente ocorre de acordo com um cenário padrão através do circuito corporativo (segmento de TI). Devido à falta historicamente estabelecida de isolamento ou devido a erros na configuração de firewalls (a presença de rotas de ponta a ponta para as necessidades de administração ou coleta de estatísticas tecnológicas), os invasores realizam a movimentação lateral da rede de escritório comprometida diretamente para as profundezas da produção.

Entre os principais fatores que contribuíram para ataques bem-sucedidos em 2025–2026, os especialistas destacam:

• O fator de substituição de importação forçada. As empresas russas são forçadas a migrar em um curto período de tempo do software e equipamentos ocidentais padrão (Siemens, Schneider Electric, SAP) para análogos domésticos ou soluções de países amigos. Muitas vezes, essa transição é realizada em um modo de escassez de tempo severa, razão pela qual os estágios de análise aprofundada de segurança, desenvolvimento seguro e modelagem de ameaças são simplesmente ignorados. Novas arquiteturas de TI são implementadas com configurações padrão e senhas fracas, criando “pontos cegos” para os serviços de segurança de TI.
• Exploração de vulnerabilidades no perímetro externo. Ataques por meio de vulnerabilidades em dispositivos de borda se tornaram mais frequentes: gateways VPN, servidores de e-mail corporativos (por exemplo, exploits para Roundcube Webmail, que receberam ampla ressonância, foram ativamente usados ​​pelos grupos CapFix e Mythic Likho) e roteadores.
• Ataques à cadeia de suprimentos (supply chain attacks). Em vez de atacar diretamente o perímetro bem protegido da corporação, os hackers atacam seus contratados - pequenas empresas de TI, integradores, organizações de serviços que fornecem manutenção remota de máquinas-ferramentas ou implementação de software. Por meio de suas contas legítimas e canais de comunicação confiáveis, os invasores penetram no sistema de destino.

Consequências de incidentes: quanto custa uma invasão?

Na maioria das vezes, os ataques à indústria russa levaram ao vazamento de informações confidenciais (61%) e interrupções nas atividades principais (33%). Segredos comerciais foram principalmente roubados das organizações (29%), a participação de seus roubos excedeu significativamente o indicador russo geral para todas as indústrias. Os invasores estão mais interessados ​​em documentação técnica, informações sobre desenvolvimentos e know-how.

As informações roubadas nem sempre permanecem exclusivamente nas mãos dos próprios invasores. Os anúncios de vazamentos de organizações industriais russas demonstram as seguintes tendências:

• 52% dos anúncios estão relacionados à distribuição gratuita de dados roubados na rede para causar danos;
• 14% dos anúncios estão relacionados à venda comercial de dados roubados;
• 300 mil dólares - o custo do vazamento mais caro vendido na darknet.

Como proteger um gigante industrial: a transição para uma segurança de TI eficaz

A abordagem “em papel” clássica para a segurança da informação, focada exclusivamente no cumprimento dos requisitos formais dos reguladores, se esgotou completamente. Em condições em que mais de cinquenta grupos APT profissionais estão trabalhando contra a indústria, a proteção deve ser construída com base nos princípios de eficácia - prevenção de eventos inaceitáveis ​​para os negócios.

Protegendo a infraestrutura de TI (segmento corporativo)

A fim de construir uma proteção confiável, é necessária uma abordagem integrada e o uso de soluções de segurança de TI especializadas:

• Filtragem de tráfego e malware: Usando gateways de e-mail/web em tempo real, NGFW e servidores proxy com categorização de sites.
• Gerenciamento de vulnerabilidades e ativos. Implementação de sistemas de classe VM (gerenciamento de vulnerabilidades) e AM (gerenciamento de ativos) para inventariar sistemas de TI “sombra” e automatizar atualizações.
• Controle de conformidade. Aplicação de sistemas HCC (controle de nós e políticas de senha), NCC (segurança de rede e segmentação) e UCC (proteção de contas e prevenção de comprometimento).
• Autenticação. Introdução de políticas de senha rigorosas, uso de gerenciadores de senha e autenticação de dois fatores obrigatória para administradores e serviços externos (VPN, e-mail).
• Monitoramento e resposta. Usando sistemas SIEM (coleta de eventos), EDR/EPP (proteção de endpoint), NTA (análise de tráfego de rede) e produtos de proteção de e-mail. Na ausência de recursos - atraindo um SOC externo.
• Análise e auditoria: Assinatura de feeds de inteligência de ameaças, realização regular de testes de penetração, exercícios cibernéticos e análise retrospectiva de incidentes.

Protegendo o segmento tecnológico (OT / APCS) A proteção do ambiente industrial deve ser estabelecida no estágio de projeto, levando em consideração as especificidades dos processos tecnológicos. Meios separados são ineficazes aqui, uma abordagem integrada é necessária:

• Inventário e busca de vulnerabilidades: Coleta automática de dados sobre software/hardware (incluindo controladores e estações de trabalho) e rastreamento de alterações de configuração.
• Controle de integridade da rede: Detecção de conexões não autorizadas e análise de protocolos industriais.
• Detecção de anomalias: Busca em tempo real de sinais de comprometimento, túneis de rede, senhas fracas e ataques ao Windows/Linux.
• Proteção de endpoints e SCADA: Proteção antivírus de ARMs e servidores APCS, detecção de ataques ocultos e supressão de tentativas de substituir arquivos de projeto ou iniciar software de engenharia ilegítimo.
• Controle do processo tecnológico: Monitoramento de parâmetros tecnológicos-chave, fixação de desvios e bloqueio de comandos perigosos (por exemplo, reflashing não autorizado do PLC).
• Conformidade: Cumprimento dos requisitos da FSTEC para a proteção de KII e integração com as estruturas da GosSOPKA.

Conclusão A análise de ataques cibernéticos ao setor industrial para 2025–2026 demonstra que a indústria russa está em um estado de confronto cibernético prolongado de alto nível de complexidade. A mudança do foco dos ataques da criptografia banal por resgate para espionagem oculta de longo prazo exige uma mudança fundamental de paradigma dos diretores de segurança. A principal tarefa não é construir “cercas” surdas no perímetro, mas desenvolver oportunidades para detecção instantânea de anomalias dentro da rede, minimizar o raio de dano em caso de comprometimento inevitável de nós individuais e garantir a continuidade garantida do ciclo tecnológico. Somente essa abordagem pragmática e eficaz permitirá que a indústria doméstica mantenha a estabilidade na era da transformação digital global.

A versão completa da pesquisa pode ser encontrada em nosso site.

Valeria Besedina Analista do grupo de pesquisa PT Cyber Analytics PT ISIM Equipe do centro de perícia industrial PT ISIM