Enquanto o mercado discute inteligência artificial e nuvem, o ataque que mais preocupa o CISO industrial brasileiro ainda começa da forma mais simples: um e-mail corporativo. Foi assim que, segundo o relatório Manufacturing Threat Landscape 2026 da Check Point Research, o Brasil liderou isoladamente os incidentes cibernéticos industriais da América do Sul entre janeiro e março de 2025, com 22 casos concentrados no setor de alimentos e bebidas, segmento que não pode parar a produção e por isso virou alvo preferencial do crime organizado.
O dado isolado já chamaria atenção. Mas é parte de um quadro maior: entre 2024 e 2025, o Brasil registrou 166 ataques de ransomware direcionados à indústria, dentro de um universo de 248 incidentes documentados em toda a América do Sul. A manufatura respondeu por 20,56% de todos os ataques cibernéticos do país no período, o maior percentual entre todos os setores da economia nacional, à frente de segmentos historicamente mais visados, como o financeiro.
Por trás desses números está uma mudança estrutural na forma como a indústria brasileira opera. E ela tem nome: convergência entre Tecnologia da Informação (TI) e Tecnologia Operacional (OT).
O isolamento que deixou de existir
Por muito tempo, proteger uma planta industrial significava, sobretudo, mantê-la isolada. PLCs e sistemas SCADA, responsáveis por comandar válvulas, motores e supervisionar processos em tempo real, funcionavam em redes fechadas, sem qualquer ponte com a internet ou com os sistemas corporativos. Esse isolamento, conhecido como air-gap, fazia o trabalho pesado da segurança: sem conexão, não havia caminho para o invasor explorar.
A Indústria 4.0 rompeu esse modelo por definição, não por acidente. Integrar sistemas ERP, plataformas de execução de manufatura (MES) e equipamentos de chão de fábrica deixou de ser diferencial competitivo para se tornar pré-requisito de eficiência, rastreabilidade e tomada de decisão em tempo real. O problema é que essa integração avançou muito mais rápido do que a capacidade das organizações de proteger o novo perímetro que ela criou.
A Dragos confirma essa virada em seu relatório 9th Annual Year in Review, publicado em fevereiro de 2026: pela primeira vez, o comportamento predominante deixou de ser apenas mapear redes industriais e passou a incluir tentativas concretas de gerar impacto operacional dentro delas.
O valor de uma credencial industrial no mercado clandestino
Um dos indicadores mais reveladores desse amadurecimento criminoso é econômico. Segundo o mesmo relatório da Check Point Research, credenciais de acesso a empresas industriais brasileiras já são comercializadas em mercados clandestinos por valores entre US$4.000 e US$70.000. O intervalo não é aleatório: reflete o cálculo prévio do comprador sobre o potencial de dano e, consequentemente, de extorsão que aquele acesso representa.
A tabela abaixo resume os principais indicadores do cenário brasileiro:
| Indicador | Valor | Fonte |
| Ataques de ransomware à indústria no Brasil (2024–2025) | 166 | Check Point Research, Manufacturing Threat Landscape 2026 |
| Incidentes documentados na América do Sul (2024–2025) | 248 | Check Point Research |
| Participação da manufatura nos ataques no Brasil | 20,56% | Check Point Research |
| Incidentes no 1º trimestre de 2025 (liderança sul-americana) | 22 | Check Point Research |
| Valor de credenciais industriais no mercado clandestino | US$ 4 mil a US$ 70 mil | Check Point Research |
| Advisories de vulnerabilidades ICS sem patch disponível (2025) | 26% | Dragos, 9th Annual Year in Review |
| Fabricantes europeus com vulnerabilidades OT conhecidas ativas | 80% | Check Point Research |
| Tempo médio de contenção com visibilidade OT vs. sem visibilidade | 5 dias vs. 42 dias | Dragos |
Da caixa de entrada à linha de produção: como o ataque se move
A confusão entre incidente de TI e incidente operacional é um dos pontos mais críticos do problema. Robert Lee, CEO da Dragos, resumiu o equívoco: organizações industriais tendem a subestimar o alcance do ransomware em ambientes OT porque presumem que o problema “é só TI”. Um servidor Windows comprometido que hospeda um software SCADA não é um incidente de escritório, mas um incidente capaz de parar uma planta inteira.
O caminho típico segue um padrão. Começa em um vetor familiar: uma credencial corporativa comprometida ou um acesso remoto via VPN mal configurado. Dali, o invasor se move lateralmente, técnica pela qual navega de um sistema comprometido para outros dentro da mesma rede, até alcançar o Active Directory, depois o ERP ou o MES e, na ausência de segmentação efetiva entre os ambientes corporativo e industrial, a própria camada OT, sem encontrar barreira relevante pelo caminho.
O dado da Dragos confirma que esse trajeto já é rotina, não exceção: em 2025, malware e ransomware corresponderam, cada um, a 23% dos engajamentos de resposta a incidentes da empresa em ambientes industriais, um indicativo de que essas ameaças já operam dentro das redes OT, e não apenas em suas bordas.
O caso da JBS Foods, ocorrido em 2021, ilustra o potencial de dano quando esse trajeto é bem-sucedido: o ataque do grupo REvil interrompeu operações da companhia na América do Norte e na Austrália e resultou no pagamento de US$ 11 milhões em resgate, impacto que se propagou para fornecedores e distribuidores conectados à cadeia produtiva atingida.
Equipamentos que não foram feitos para este momento
O problema técnico central não está apenas na sofisticação de quem ataca, mas na fragilidade estrutural dos sistemas do outro lado. PLCs, interfaces homem-máquina (HMIs) e plataformas SCADA legadas foram projetados para durabilidade operacional ao longo de décadas, não para resistir a ameaças cibernéticas modernas. Muitos rodam sistemas sem suporte, utilizam protocolos industriais sem autenticação nativa e não possuem ciclo de atualização de segurança.
Os números tornam esse cenário concreto: em 2025, 26% dos advisories de vulnerabilidades publicados para sistemas de controle industrial (ICS) não vieram acompanhados de patch ou mitigação disponível pelo fabricante, segundo a Dragos. Na Europa, referência global de maturidade industrial, 80% dos fabricantes ainda operavam ambientes OT críticos com vulnerabilidades conhecidas e não corrigidas, de acordo com a Check Point Research. Em escala global, o mesmo levantamento da Dragos estima que US$329,5 bilhões estão sob risco de perda em cenários de incidentes OT de alta severidade e boa parte desse valor está concentrada em ativos que nenhuma equipe de TI tradicional monitora hoje.
Visibilidade como pré-requisito, não como diferencial
Toda estratégia de defesa OT esbarra na mesma pergunta inicial, que grande parte das indústrias brasileiras ainda não sabe responder com segurança: quantos ativos operacionais conectados existem na operação, onde estão e se estão atualizados. É esse inventário, não a próxima ferramenta comprada, que determina se a proteção realmente enxerga o que precisa proteger.
A diferença entre ter essa visibilidade e não ter é mensurável em tempo e tempo, num incidente industrial, equivale diretamente a custo. Organizações com visibilidade abrangente sobre seus ambientes OT contiveram incidentes de ransomware em uma média de cinco dias; nas que operavam sem monitoramento dedicado, a contenção levou em média, quarenta e dois. Trinta e sete dias a mais de linha parada e decisões tomadas sem informação completa, segundo a Dragos.
A resposta passa por três frentes sequenciais: mapeamento completo dos ativos OT como pré-requisito inegociável; segmentação de rede entre os ambientes de TI e OT, interrompendo o trajeto que a movimentação lateral explora; e adoção de arquitetura Zero Trust, modelo que parte da premissa de que nenhum acesso é confiável por padrão , com critérios adaptados à realidade industrial, distintos dos ciclos corporativos tradicionais.
O peso regulatório também mudou de patamar
Sancionada em fevereiro de 2026, a Lei 15.352/2026 transformou a Autoridade Nacional de Proteção de Dados (ANPD) em agência autônoma, com orçamento próprio, quadro técnico independente e poderes ampliados de fiscalização — estrutura que passou a valer plenamente em abril, com o Decreto 12.881/2026, incluindo a possibilidade de abrir investigações de ofício e aplicar sanções sem aprovação ministerial.
A agenda regulatória 2025–2026 da ANPD já definiu 16 temas prioritários, com o ciclo de auditorias e inspeções se intensificando ao longo do segundo semestre. Organizações industriais que ainda não mapearam seus ativos OT, não documentaram práticas de segurança ou não formalizaram planos de resposta a incidentes entram nesse ciclo em posição de exposição dupla, técnica e regulatória.
Como a Asper estrutura a resposta para o ambiente industrial
Diante desse cenário, a Asper organiza sua atuação para o setor industrial em torno de três eixos integrados pelo Cyber Fusion Center (CFC). O primeiro é a segmentação de rede e contenção de movimentação lateral, que impede que um comprometimento originado na rede corporativa se espalhe para o chão de fábrica e vice-versa, protegendo o ponto exato em que a maioria dos ataques industriais avança sem barreira. O segundo é o Tenable One, plataforma de gestão contínua de exposição que integra ativos de TI, nuvem e, quando aplicável, tecnologia operacional em uma única visão de risco priorizada por impacto real ao negócio, endereçando diretamente o problema de visibilidade descrito acima. O terceiro é o próprio CFC, operando 24×7 no ritmo de uma indústria que não para: monitoramento contínuo e resposta em minutos, para conter uma ameaça antes que ela se traduza em linha de produção parada.
A combinação dos três eixos orquestra inteligência, automação e expertise humana em um ciclo contínuo de detecção, contenção e evolução, adaptado a ambientes onde disponibilidade é, tanto quanto segurança, um requisito de negócio.
O que os números de 2026 já indicam
A trajetória não aponta para desaceleração. A convergência IT/OT seguirá avançando porque é a base da competitividade industrial moderna e o Brasil não deveria recuar dela. O que precisa mudar é o ritmo com que a segurança acompanha essa integração. Enquanto inventário de ativos OT, segmentação de rede e visibilidade contínua permanecerem projetos de médio prazo, o país seguirá no topo do ranking sul-americano de incidentes, não por falta de tecnologia disponível, mas pela distância entre a velocidade da digitalização industrial e a da proteção que deveria acompanhá-la.
Quer entender como o Cyber Fusion Center da Asper pode fortalecer a postura de segurança da sua operação industrial? Fale com nosso time de especialistas.
