Segurança OT na refrigeração: como controlar o acesso remoto
Uma interface de manutenção também pode alterar um processo físico. Veja quais evidências cobrar da operação e do fornecedor.
Read in EnglishPor Pentesty
O que o alerta francês confirma
O CERT-FR publicou em 12 de outubro de 2026, com atualização no dia seguinte, um alerta sobre comprometimentos de controladores de refrigeração Danfoss, Copeland e Dixell. O CyberSec Brazil também noticiou impactos em supermercados. O boletim confirma a exposição operacional, mas não estabelece uma única vulnerabilidade como causa de todos os incidentes. Essa distinção evita transformar uma hipótese técnica em conclusão.
A pergunta certa começa no processo físico
Um controlador OT atua sobre temperatura, motores e ciclos de operação. Por isso, uma autorização de teste que serve para um site institucional pode ser inadequada nesse ambiente. Antes de qualquer avaliação ativa, registre o responsável pela operação, os limites aceitáveis, o procedimento de interrupção e a presença do fornecedor quando necessária.
Mapeie o caminho completo de uma alteração: técnico, ferramenta de acesso remoto, gateway, controlador e comando aplicado. Pergunte se uma única conta consegue administrar unidades de várias filiais. O mapa precisa mostrar onde uma sessão é autenticada, autorizada, registrada e encerrada, incluindo conexões que o próprio fornecedor inicia.
Separe manutenção, monitoramento e comando
Consultar telemetria e alterar um parâmetro são permissões diferentes. Uma integração usada para ler temperatura não precisa necessariamente poder modificar o funcionamento de um equipamento. Defina funções de consulta, manutenção e administração, com contas individuais e acesso temporário aprovado pela operação.
Evite tratar a VPN como evidência suficiente de autorização. Depois de entrar na rede, quais destinos o técnico alcança? Ele consegue atravessar lojas ou acessar servidores corporativos? Uma revisão deve comparar a regra declarada com a conectividade efetivamente permitida, começando por evidências de configuração e testes de baixo impacto em escopo autorizado.
Transforme o contrato em evidências verificáveis
Peça ao fornecedor uma lista de equipamentos e versões sob sua responsabilidade, o ciclo de suporte e o caminho de atualização. Registre exceções para dispositivos antigos com responsável, prazo de substituição e medidas compensatórias. Uma promessa genérica de atualização não informa quais unidades ainda dependem de firmware sem suporte.
- Acesso: obtenha a relação de contas, destinos e permissões por loja, com data de revisão.
- Mudanças: selecione uma intervenção recente e confira quem aprovou, executou e validou o resultado.
- Detecção: simule um evento inofensivo previamente acordado e verifique se o alerta chega à pessoa de plantão.
- Recuperação: ensaie a restauração de configurações em equipamento de teste e registre o tempo necessário.
Resposta técnica e operação precisam compartilhar a decisão
Se houver suspeita de alteração maliciosa, envolva operação, segurança e manutenção. A contenção deve considerar como preservar a refrigeração e coletar registros, sem deixar a equipe de TI decidir sozinha sobre equipamentos essenciais. Uma restauração que mantém o mesmo acesso vulnerável pode permitir a repetição do problema.
A análise da Pentesty para esse cenário é começar pela exposição e pelo caminho de acesso autorizado, definindo separadamente qualquer teste de OT. Um pentest de aplicação web não demonstra a integridade física de um controlador nem substitui a avaliação do processo industrial. O resultado útil relaciona cada acesso identificado à correção e à evidência de reteste.
Em uma organização com várias lojas, identifique quem decide sobre a gestão remota compartilhada e quem responde por cada unidade. Se um equipamento não tiver responsável confirmado, estabeleça quem recebe a pendência, em qual prazo e quem aprova a decisão provisória.
Em uma amostra autorizada do inventário, compare a unidade, o equipamento e o fornecedor declarados com os registros disponíveis. Registre as divergências e a data de revisão das exceções. A evidência útil mostra que uma pendência chegou à pessoa com autoridade para resolvê-la, não apenas que um nome foi incluído na planilha.
Atualização editorial de 15 de outubro de 2026
Em 6 de outubro de 2026, a OT Cybersecurity Coalition propôs uma diretiva para a segurança OT de órgãos federais civis dos EUA. O documento é uma proposta, não uma obrigação já emitida nem uma regra aplicável às empresas brasileiras.
EFS: observar o processo durante a contenção
Atualização editorial: 5 de novembro de 2026
Em comunicado de 3 de novembro de 2026, o Établissement français du sang (EFS) informou que um incidente em seu fornecedor de refrigeração, no dia anterior, afetou a supervisão e o comando de câmaras frias em três unidades. A instituição disse não ter sido diretamente visada. Limites de temperatura e descongelamento foram elevados, sem divulgar valores numéricos.
Segundo o EFS, seus alarmes e monitoramento identificaram as anomalias; equipamentos foram controlados ou neutralizados e produtos transferidos preventivamente quando necessário. A instituição informou não ter identificado impacto sanitário nem registrado perda de produtos sanguíneos.
Para a Pentesty, o caso acrescenta uma pergunta ao teste de acesso remoto: se o caminho de comando for comprometido, a equipe ainda consegue observar o processo e agir? Em um exercício autorizado, com simulação inofensiva, confira se o alerta chega ao plantão quando o acesso do fornecedor está indisponível. Registre horários de detecção, confirmação e intervenção, com responsável e canal alternativo. A independência entre observação e comando é uma exigência proposta para avaliação, não uma característica da arquitetura do EFS comprovada pelo comunicado.
Na retomada, recupere também evidências da condição do produto. Combine registros de temperatura, duração do desvio, transferência e decisão do responsável operacional ou de qualidade antes de aceitar a recuperação. Esses são critérios editoriais para planejar o exercício com a equipe competente; não descrevem procedimentos clínicos executados pelo EFS. Reativar a tela de controle, isoladamente, não demonstra que a condição física foi preservada.
Limites de temperatura e evidência quando faltam logs
Atualização editorial: 7 de novembro de 2026
Na nota conjunta de 5 de novembro de 2026, CISA, FBI e os departamentos americanos de Saúde, Agricultura e Transporte alertaram para atividade maliciosa contra refrigeração e monitoramento da cadeia de frio. O documento descreve o risco de perder a visibilidade das temperaturas e recomenda limites para os valores de ajuste nos dispositivos comandados pelos controladores, com alertas para desvios.
Para a Pentesty, esses limites merecem um critério de aceite próprio. Em uma revisão autorizada, peça ao responsável pelo processo que identifique as faixas aplicáveis a cada equipamento, onde são impostas e quem pode alterá-las. Confira a configuração e o caminho de alerta em equipamento de teste ou com uma simulação inofensiva, sem mudar a temperatura do processo real. Preserve a versão examinada, o resultado esperado, o observado e a aprovação de operações.
A nota também recomenda coletar tráfego e comunicações entre ativos quando os registros OT são indisponíveis ou não padronizados. Planeje uma coleta passiva com a equipe de OT e o fornecedor, definindo origem, horário, retenção e acesso à evidência. Compare a sessão remota autorizada com os comandos e alertas que puderem ser observados. Se uma parte desse caminho não puder ser examinada, registre a lacuna e quem responde pela próxima verificação antes de aceitar a recuperação.
Perguntas frequentes
Uma falha na refrigeração prova que houve ataque?
Não. Falhas elétricas, operacionais e de equipamento também podem causar alterações. Preserve registros e compare comandos, sessões e eventos antes de atribuir a causa a um incidente cibernético.
Uma VPN resolve o risco de acesso remoto?
Ela pode proteger o canal de acesso. Ainda é necessário limitar destinos e permissões, identificar cada operador e controlar a duração das sessões de manutenção.
Posso executar um scanner comum nos controladores?
Somente com autorização e um plano compatível com a operação. Comece pelo inventário e pelas configurações; testes ativos exigem avaliação do impacto e critérios claros de parada.
Qual evidência mostra que uma correção funcionou?
Um reteste autorizado que confirme o bloqueio do caminho indevido, junto dos registros da alteração, das permissões resultantes e da validação operacional do equipamento.
Fontes e referências
Análise original da Pentesty, publicada em 15 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.