Energia, eletricidade e utilities (infraestrutura crítica)

Incidentes

Argentina: Oldelval, ransomware, atribuições cruzadas e risco de exfiltração

O incidente mais relevante do período no setor de energia latino-americano foi o da Oleoductos del Valle (Oldelval), na Argentina. A empresa informou à Comissão Nacional de Valores que havia sofrido um ciberataque que afetou alguns de seus sistemas administrativos. Também esclareceu que o transporte de petróleo não foi interrompido e que os sistemas afetados foram restaurados. Essa comunicação torna o caso um evento material para a governança corporativa e para o mercado acionário, mas não significa, por si só, impacto na operação física do oleoduto.

O ponto mais relevante, do ponto de vista de risco, é a evolução do caso. Na primeira leitura, parece um ataque à TI corporativa com contenção e recuperação. No entanto, fontes posteriores de monitoramento de brechas e sites de vazamento indicaram que a Incransom teria listado a Oldelval e publicado amostras de documentação interna que incluiriam dados sensíveis de funcionários, recursos humanos, finanças, tributação e regulação. Embora a única fonte primária dessa atribuição seja o próprio agente de ameaça, a convergência de vários relatos sugere que o caso teve um componente de exfiltração, ao menos alegado de forma consistente pelo grupo.

Na prática, isso traz três implicações. Primeiro, ainda que a empresa tenha restaurado os sistemas administrativos, o episódio não termina aí: o vazamento de informação pode prolongar o dano por semanas ou meses. Segundo, a exfiltração de documentos internos de uma empresa de transporte de hidrocarbonetos pode revelar fluxos lógicos, hierarquias de acesso, contratos, e-mails ou detalhes regulatórios úteis para ataques futuros mais precisos. Terceiro, se os dados vazados forem parcial ou totalmente verdadeiros, a superfície regulatória se amplia para privacidade, relações trabalhistas, compliance e potencial litígio.

A atribuição também exige cautela. Algumas fontes vincularam o caso à Incransom; outras, ao The Gentlemen. O Rio Times informou que o The Gentlemen reivindicou o ataque dias depois de atribuir a si mesmo um incidente contra a Ecopetrol, e diferentes peças posteriores reforçaram que se tratava de uma reivindicação do próprio grupo, sem confirmação oficial independente. Esse cruzamento de atribuições não é raro no ecossistema de ransomware: os grupos podem publicar nomes para ganhar visibilidade, aumentar a pressão ou aproveitar a atenção da mídia. Para um CISO, a lição não é escolher uma narrativa, e sim assumir que a combinação de reivindicação pública e vazamento alegado já gera risco reputacional e operacional, mesmo sem evidência de intrusão em OT.

A temporalidade também é relevante. O caso foi comunicado à CNV no fim de julho e começou a circular publicamente nos primeiros dias de agosto. Depois, a atividade de leak sites ampliou o episódio com novas menções. Isso mostra uma sequência típica: detecção interna, notificação regulatória, cobertura da mídia e, depois, exploração da informação pelo agente de ameaça. No setor de energia, onde o escrutínio público é alto, essa sequência pode afetar negociações com clientes, fornecedores e autoridades, mesmo que a operação central não pare.

Do ponto de vista de defesa, a Oldelval deixa algumas recomendações práticas. A primeira é revisar a proteção dos sistemas administrativos: segmentação real em relação ao ambiente OT, privilégios mínimos, MFA em acessos remotos e monitoramento de movimentação lateral. A segunda é preparar uma resposta específica para exfiltração, não apenas para criptografia, identificando qual informação pode ter saído, como notificar, quais obrigações regulatórias são acionadas e como preservar evidências. A terceira é desenvolver uma estratégia de crise com mensagens diferentes para operação, mercado e segurança, porque nem todo público precisa do mesmo nível de detalhe. A quarta é tratar com especial cuidado credenciais e acesso de terceiros, já que casos de ransomware em infraestrutura crítica frequentemente exploram fornecedores, manutenção ou serviços compartilhados.

Chile: consulta pública e endurecimento regulatório do setor elétrico

O Chile encerrou agosto com um avanço regulatório importante: a Comissão Nacional de Energia abriu a consulta pública do projeto de Norma Técnica de Cibersegurança e Segurança da Informação para o setor elétrico. Segundo a cobertura adicional, o período de consulta se estenderá por 25 dias corridos a partir da publicação do aviso no Diário Oficial, com os antecedentes disponíveis no portal normativo da CNE. Em paralelo, uma nota setorial informou que o Ministério de Energia instruiu a depurar o projeto, eliminar referências ao CSIRT setorial elétrico e submeter a proposta à consulta até 31 de agosto.

Além do detalhe administrativo, o sinal político é claro: o setor elétrico chileno entra em uma fase de formalização mais rígida de cibersegurança. Para as empresas, isso significa que a discussão já não se limita a boas práticas ou recomendações voluntárias. Haverá expectativa de rastreabilidade, evidência documental, capacidade de resposta e coordenação interinstitucional. Em outras palavras, a cibersegurança do setor elétrico caminha para um modelo de conformidade mais explícito, com potencial impacto em auditorias, investimento e priorização de projetos.

Essa evolução deve ser lida junto com o contexto técnico do mês. A divulgação do advisory sobre ASE2000 V2, usado em subestações elétricas e em ambientes de energia e água, reforça a necessidade de que qualquer nova norma inclua inventário de ativos industriais, gestão de vulnerabilidades, testes seguros e tratamento de componentes de terceiros. Em especial, o setor elétrico chileno não deveria assumir que o maior risco vem apenas do perímetro de TI ou do e-mail corporativo. Sistemas de controle de subestações, test sets de comunicação e ferramentas de diagnóstico também merecem tratamento normativo e operacional.

A consulta pública também é uma oportunidade para resolver uma tensão recorrente na região: como regular um ambiente heterogêneo sem impor controles desconectados da realidade operacional. Se uma norma exige capacidades de resposta sem considerar janelas de manutenção, topologias distribuídas ou dependência de fornecedores internacionais, pode acabar gerando conformidade documental fraca e segurança real insuficiente. Por isso, na perspectiva do CISO, a resposta ao processo regulatório deve incluir comentários técnicos concretos sobre segmentação OT, detecção de anomalias, gestão de acesso de fornecedores, testes de restauração e critérios de reporte de incidentes.

Colômbia: atentado a torre de transmissão e continuidade do serviço

A Colômbia traz em agosto um lembrete duro de que a infraestrutura crítica elétrica também enfrenta risco físico. A Procuradoria-Geral da Nação alertou sobre a segurança da infraestrutura de transmissão em Tolima após um atentado contra uma torre em Planadas, fato que colocou em risco a continuidade do serviço de energia. A comunicação oficial pediu às autoridades locais que informassem as ações para proteger a infraestrutura crítica e prevenir novos episódios. A Caracol Radio ampliou o alerta ao apontar impacto na estrutura dos circuitos Alférez, Tesalia 1 e 2.

Esse incidente não pertence ao mesmo gênero do ransomware da Oldelval. Não se trata de extorsão digital, mas de um ato que compromete o componente físico da rede. Justamente por isso ele é tão relevante para a análise setorial: mostra que a resiliência energética depende de uma camada mais ampla de segurança, que inclui vigilância, resposta territorial, redundância de rede, coordenação com forças de segurança e capacidade de recuperação da infraestrutura de transmissão.

Para os operadores, a lição é dupla. Primeiro, a continuidade não se protege apenas com firewalls e backups; também é preciso proteger torres, corredores, subestações e acessos. Segundo, eventos físicos e cibernéticos podem interagir. Um operador já pressionado por um incidente digital pode ficar mais exposto se também enfrentar sabotagem ou vandalismo material. A gestão de crise deve considerar cenários compostos e comunicações coordenadas com governo, regulador e população.

O caso também sugere uma prioridade de governança: a segurança da transmissão elétrica deve fazer parte de uma matriz integrada de riscos críticos. Quando a autoridade judicial ou disciplinar pede reforço de segurança, não está apenas reagindo a um evento; está estabelecendo uma expectativa de diligência. Os operadores precisam conseguir demonstrar avaliações de risco, patrulhamento, monitoramento, coordenação comunitária e protocolos de resposta rápida. Em áreas com histórico de incidentes, essas medidas não são opcionais.

Brasil: exposição elevada, ransomware persistente e setor de utilities sob pressão

O Brasil segue funcionando como termômetro regional de exposição cibernética. O material do período mostra números muito altos de telemetria de ataques e, ao mesmo tempo, confirma que o setor de energia e serviços públicos está entre os mais atingidos no país. Essa combinação não deve ser lida como uma relação mecânica entre volume de tentativas e incidentes confirmados. Ela indica, antes, que o ecossistema brasileiro continua sendo alvo intensamente explorado por atacantes oportunistas, e que as utilities estão entre os setores com maior pressão relativa.

Um ponto importante é que várias fontes sobre o Brasil vêm de reportagens que, por sua vez, citam dados de fornecedores de segurança. Por isso, convém separar claramente telemetria de comprometimento. Dizer que houve 249,3 mil bilhões de tentativas no semestre não significa que tenham ocorrido ataques equivalentes contra energia, nem que essas tentativas se traduzam em invasões bem-sucedidas. Ainda assim, isso sugere que a higiene defensiva precisa ser contínua: gestão de vulnerabilidades, filtragem de e-mail, MFA, segmentação e monitoramento de acessos devem ser tratados como controles básicos, não como projetos extraordinários.

A notícia sobre o setor de ‘Energia e Serviços Públicos’ com 2.759 ataques em julho reforça a ideia de que as utilities brasileiras recebem pressão contínua. Um dado assim pode envolver malware, phishing, varredura, tentativas de exploração ou bloqueios de IPS, conforme a metodologia da fonte. Por isso, o valor analítico está na tendência setorial, não em uma leitura literal de "ataques" como invasões. Ainda assim, a mensagem para a indústria é consistente: quanto mais o negócio estiver conectado a atendimento ao cliente, faturamento, telemetria e operações remotas, mais exposto estará ao abuso de credenciais e a campanhas de extorsão.

Além disso, o Brasil traz um caso útil de leitura comparativa. Os números de ransomware no país, citados por diferentes fontes, variam entre 120, 123 e outros levantamentos próximos. Essa variação não invalida a conclusão de fundo: o Brasil figura entre os países mais afetados. Para um relatório setorial, o importante é a consistência do sinal, não a uniformidade absoluta de cada contagem. Ainda assim, as diferenças precisam ser explicitadas para evitar falsas certezas. Se uma equipe executiva tomar decisões de investimento ou priorização, isso deve ser feito com base em padrões robustos, e não em um número isolado.

Indústria e utilities: ASE2000 V2 e o risco de componentes de subestação

O advisory sobre ASE2000 V2 é um dos achados técnicos mais relevantes do período para o setor elétrico. O componente serve como test set de comunicações IEC 60870-5-104 com TLS, é usado em subestações e apresenta vulnerabilidades críticas nas versões 2.25 a 2.37. As descrições técnicas citadas pelo material apontam cenários de leitura e gravação arbitrária de arquivos locais e interceptação de conexões criptografadas. A versão 2.38 foi publicada para corrigir as falhas.

A relevância desse caso não está apenas na severidade atribuída, mas no tipo de ambiente afetado. Test sets e ferramentas auxiliares muitas vezes ficam fora do radar dos programas clássicos de gestão de vulnerabilidades porque não são "ativos de produção" em sentido estrito. Mesmo assim, eles se integram às comunicações de subestações, aos testes de IEC 60870-5-104 e à validação de TLS, podendo se tornar uma via de acesso a informações sensíveis ou ao tráfego de controle. Em um ambiente de energia, essa é uma superfície crítica.

Para CISOs, o principal aprendizado é que o inventário OT não pode se limitar a PLCs e SCADA. Ele precisa incluir equipamentos de teste, estações de engenharia, componentes de suporte, bibliotecas reutilizadas como log4net e ferramentas de terceiros. Se um produto de validação usa dependências vulneráveis e está implantado em subestações, o risco se transmite para a camada de comunicação. Por isso, a remediação não deve esperar por uma exploração observada: um advisory com severidade 9,8 e impacto em versões amplamente implantadas exige ação preventiva.

Países

Argentina

A Argentina concentra dois planos de risco em agosto de 2026. O primeiro é o incidente Oldelval, que, pelo peso sistêmico no transporte de cru de Vaca Muerta, vai além da noção de "empresa afetada" e entra na discussão sobre infraestrutura crítica de energia. O segundo é a presença de atribuições cruzadas por grupos de ransomware que usam a visibilidade do caso para reforçar suas narrativas de extorsão. Nos dois planos, o impacto sobre sistemas administrativos é central: embora a operação física não tenha sido interrompida, os processos corporativos e regulatórios ficaram sob estresse.

Do ponto de vista de política pública e setorial, o caso mostra uma tensão frequente na Argentina: a notificação a mercados e reguladores corporativos convive com a falta de um marco setorial de cibersegurança tão desenvolvido quanto o de outros países da região. Isso não impede uma reação, mas faz com que a resposta dependa mais da maturidade interna de cada operador. Por isso, as empresas de energia com ativos críticos deveriam revisar com urgência seus mecanismos de reporte, a relação com a CNV, a preservação de evidências e os protocolos para incidentes que incluam exfiltração.

Também fica evidente que o atacante não precisa tocar sistemas industriais para gerar impacto amplo. Se o site de vazamento publica documentos de recursos humanos, finanças ou regulação, a empresa pode enfrentar problemas de privacidade, negociação, reputação e confiança do mercado. A defesa precisa cobrir essa dimensão. Na Argentina, onde a conversa pública sobre infraestrutura crítica costuma ganhar força quando há eventos visíveis, o valor de uma resposta organizada e tecnicamente embasada é ainda maior.

Brasil

O Brasil não registrou no material analisado um incidente confirmado de infraestrutura energética com impacto operacional direto comparável ao da Oldelval ou ao atentado em Tolima, mas mostrou exposição elevada e pressão contínua sobre o conjunto de utilities. O país segue como referência para ransomware e telemetria maliciosa, com o setor de energia e serviços públicos em posições altas de exposição setorial.

A leitura correta é que o Brasil combina escala, digitalização e heterogeneidade operacional. Esse conjunto amplia o número de superfícies atacáveis, como faturamento, portais de clientes, acesso remoto, fornecedores, identidades, dispositivos de campo e sistemas industriais. Sem incidentes de OT confirmados no período, o risco mais visível continua sendo o de comprometimentos de TI com potencial de propagação ou de pressão reputacional. Por isso, a prioridade deve recair sobre identidade, segmentação, monitoramento contínuo e backups testados, além da detecção precoce de exfiltração.

Chile

O Chile avança para uma maior formalização do controle de cibersegurança no setor elétrico. A consulta pública do projeto normativo é mais do que um trâmite: antecipa obrigações que provavelmente vão afetar gestão de riscos, documentação e capacidade de resposta. O setor elétrico chileno deveria aproveitar este momento para revisar seu nível de maturidade, especialmente em ativos OT, comunicações de subestação e relação com fornecedores.

O caso ASE2000 V2 acrescenta uma motivação técnica concreta. Se um componente crítico em subestações pode apresentar vulnerabilidades graves, a regulação não pode se limitar a políticas gerais. Ela precisa incluir inventário vivo, ciclo de remediação, testes de restauração e critérios de segregação entre ambientes de teste e produção. Para os operadores, a janela de consulta pública é uma oportunidade para incorporar requisitos realistas e, ao mesmo tempo, exigentes.

Colômbia

A Colômbia enfrenta, em Tolima, uma evidência material de risco físico contra infraestrutura de transmissão. O chamado da Procuradoria para reforçar a proteção de torres e circuitos é um sinal de que a resiliência energética também se decide em campo. Para o setor, o caso convida a revisar protocolos de vigilância, coordenação com autoridades e redundância operacional em áreas expostas.

A importância analítica do incidente é que ele não deve ser lido como um fato isolado. Quando uma infraestrutura elétrica sofre um atentado, a pergunta não é apenas quem o executou, mas qual era o nível de resiliência do sistema antes do ataque e qual capacidade de resposta ativa existe depois. O foco precisa ir além do reparo imediato e abranger lições de desenho, patrulhamento, controle territorial e comunicação com a população.

Tendências e implicações regionais

A tendência dominante do período é a convergência de dois mundos que antes eram analisados separadamente: a extorsão digital em TI corporativa e o risco industrial/OT. Oldelval representa a primeira frente, Siemens S7 e ASE2000 V2, a segunda. No meio, ficam as utilities, que operam com grandes volumes de dados, fornecedores, acessos remotos e, em muitos casos, tecnologia legada. O resultado é um mapa de ameaça que já não permite separar "cibersegurança corporativa" de "segurança operacional" como se fossem domínios independentes.

A segunda tendência é a multivectorialidade. Um operador de energia pode enfrentar ransomware, vazamento de dados, exploração de vulnerabilidades industriais e, em alguns países, ameaças físicas à infraestrutura. Esse contexto exige que os comitês de crise trabalhem com cenários integrados. Se o plano de resposta contemplar apenas criptografia de servidores, ele será insuficiente. Ele deve incluir exfiltração, desinformação, impacto reputacional, notificação regulatória, continuidade operacional e, quando aplicável, coordenação com a segurança física.

A terceira tendência é a maturação regulatória desigual. O Chile avança em norma técnica, o Brasil fortalece o diagnóstico e o comitê nacional, a Colômbia reage a ataques físicos e alertas sobre transmissão, e a Argentina segue movimentando o caso por meio de comunicações societárias e cobertura da mídia. Essa heterogeneidade importa porque gera diferentes níveis de exigência para empresas com presença regional. Um operador multinacional não pode trabalhar com um padrão mínimo por país, precisa de um baseline corporativo que supere o piso local mais fraco e permita harmonizar controles.

A quarta tendência é a maior facilidade técnica para atacar ambientes industriais. O advisory sobre Siemens S7 é especialmente preocupante porque descreve o uso de IA para gerar scripts e disfarçá-los como ferramentas legítimas, além do emprego de serviços públicos de escaneamento para localizar PLCs expostos. Isso sugere que o atacante não precisa ser especialista em ICS para obter resultados iniciais. Na prática, qualquer organização com dispositivos expostos, credenciais fracas ou software desatualizado está perto demais do limiar de comprometimento.

Em termos regionais, o setor de energia/utilities deve assumir que a pressão não vai diminuir no curto prazo. O aumento de ransomware, a reutilização de credenciais, a venda de acessos iniciais e a sofisticação progressiva das campanhas de reconhecimento fazem dos ativos de alto valor alvos permanentes. A resposta não é apenas comprar mais ferramentas, mas fazer melhor o básico, inventário, segmentação, hardening, backup, restauração, testes de crise e gestão de terceiros.

Recomendações para CISOs e responsáveis por tecnologia operacional

A prioridade imediata é separar com clareza os domínios de risco. Sistemas administrativos, ambientes de usuário, estações de engenharia, PLCs, test sets de subestação e canais de acesso remoto não devem ser compartilhados sem controles rígidos. Se o caso da Oldelval mostra algo, é que um ataque a sistemas administrativos pode terminar em pressão de extorsão e vazamento. Se o advisory sobre Siemens S7 mostra algo, é que controladores expostos e mal configurados podem ser localizados e explorados com relativa facilidade.

Na prática, os CISOs do setor deveriam focar em sete medidas concretas. Primeiro, inventário completo de ativos de TI e OT, incluindo componentes de teste e bibliotecas críticas. Segundo, MFA robusta e redução drástica de acessos privilegiados, especialmente de terceiros. Terceiro, segmentação real entre o corporativo e o operacional, com validação de rotas e regras. Quarto, backups offline ou imutáveis, testados com restaurações periódicas. Quinto, monitoramento de exfiltração e não apenas de criptografia, porque o vazamento de dados hoje é um mecanismo central de pressão. Sexto, revisão da exposição de PLCs, serviços remotos e portas industriais como TCP 102 quando aplicável. Sétimo, exercícios conjuntos de TI, OT, jurídico, comunicação e continuidade para cenários de dupla extorsão ou evento físico.

Também vale fortalecer a relação com fornecedores e reguladores. Em muitas utilities, os caminhos de comprometimento passam por terceiros com acesso remoto ou por ferramentas de suporte de vendors. Os contratos devem exigir controles mínimos, notificação rápida, revisão de logs e capacidade de revogação de acessos. Em paralelo, a área jurídica precisa ter listas de verificação para notificação às autoridades, tratamento de dados pessoais, preservação de evidências e gestão de leak sites. A resposta a um incidente já não pode ser improvisada no mesmo dia.

Por fim, o setor precisa fazer mais trabalho preventivo com a alta direção. Os comitês de risco costumam entender ransomware como uma ameaça de indisponibilidade, mas o material de agosto mostra que a exposição de dados, a reputação e a pressão regulatória podem custar tanto quanto, ou mais. Se uma empresa de energia for listada em um leak site, mesmo que sua rede não pare, o impacto pode aparecer em auditorias, contratos, acesso a capital e confiança pública. Essa conversa precisa estar instalada no nível do conselho.

Limitações do material

Este relatório se baseia exclusivamente no material de research fornecido e, por isso, reflete o que foi publicado ou citado nessas fontes durante a janela analisada. A ausência de um fato no material não equivale à ausência desse fato na região. Da mesma forma, a falta de uma vulnerabilidade específica no material não significa que não existam vulnerabilidades ativas ou exploradas em energia e utilities. Em particular, quando aparecem números de telemetria, eles correspondem a tentativas, bloqueios ou atividade maliciosa observada por vendors, e não a incidentes confirmados.

Também não se deve confundir a menção de uma vítima em um leak site com uma confirmação oficial de comprometimento, nem uma atribuição publicada por um grupo com confirmação independente. No caso da Oldelval, o material inclui notificações corporativas, análises de terceiros e atribuições do ator de ameaça; essa mistura exige separar com cuidado o que foi confirmado do que foi alegado. Por fim, os dados do Brasil sobre tentativas de ataque, contagens de ransomware e exposição setorial servem para contextualizar pressão e priorização, mas não para derivar por si só um número de incidentes operacionais em energia ou utilities.

Perguntas frequentes

Houve interrupções no serviço elétrico ou no transporte de hidrocarbonetos?

No material analisado, não foi confirmada interrupção do serviço elétrico associada aos principais incidentes do período. Na Oldelval, a empresa afirmou que o transporte de petróleo não foi interrompido. Na Colômbia, houve um atentado contra uma infraestrutura de transmissão que colocou em risco a continuidade, mas a cobertura disponível se concentra no alerta e na proteção do ativo, não em uma interrupção prolongada.

Qual foi o incidente mais relevante do mês?

Pelo impacto setorial e pela projeção regional, o caso da Oldelval na Argentina foi o mais relevante. Ele combinou afetação de sistemas administrativos, notificação regulatória, atribuições de ransomware e relatos posteriores de possível exfiltração de dados. Embora não tenha havido interrupção do transporte, o caso expôs uma superfície sensível de uma infraestrutura crítica do setor de petróleo.

O que um CISO do setor deve observar primeiro?

Deve priorizar inventário completo, segmentação TI/OT, MFA, controle de terceiros e restauração testada. Além disso, precisa preparar a resposta para exfiltração de dados, e não apenas para criptografia. O advisory sobre Siemens S7 e o caso ASE2000 V2 mostram que a exposição industrial continua sendo um risco real.

Os números altos de ataques no Brasil significam que o setor elétrico foi o mais atingido?

Não. Os números citados sobre o Brasil incluem telemetria e contagens setoriais amplas. Eles indicam pressão elevada sobre o ecossistema digital e, de fato, mostram que energia e serviços públicos estiveram entre os setores mais atacados em julho, mas não permitem concluir, por si só, quantos incidentes operacionais cada empresa ou subsetor sofreu.

Há um padrão regional claro?

Sim: a convergência entre ransomware, vazamento de dados, vulnerabilidades industriais e risco físico. A Argentina mostra o vetor corporativo-extorsivo, o Chile a maturidade regulatória e as vulnerabilidades de subestação, a Colômbia o risco físico sobre transmissão e o Brasil uma pressão contínua e elevada sobre utilities. O desafio comum é integrar cibersegurança, continuidade e segurança física em um único modelo de gestão.