Ataques hackers ao setor de energia podem ser 'desastrosos'

Depois de muito tempo, termos como "apagão" voltaram a se tornar presentes nos noticiários brasileiros. Um dos principais motivos para deixar o cenário neste estado é a crise hídrica, já que a falta de chuvas acaba desabastecendo os reservatórios das hidrelétricas, a principal matriz energética do país.

Com esse contexto, que pode condenar os brasileiros a um severo racionamento, o setor energético também se preocupa com possíveis novos ataques cibernéticos. Para contornar um problema futuro, entidades governamentais e empresas privadas estudam possibilidades e ações para evitar que o Brasil volte a ficar no escuro, como o que ocorreu no início deste século.

• Apagão 2021: Brasil corre risco de novo racionamento de energia?

Ataques hackers na pandemia

Desde o início da pandemia de coronavírus, em março de 2020, o mundo viu o número de crimes virtuais crescer e os usuários comuns estiveram entre as principais vítimas. O Brasil sofreu no começo deste ano, por exemplo, um dos maiores supostos vazamentos de sua história, que teria exposto dados sensíveis de mais de 200 milhões de pessoas, incluindo falecidos. Hoje, essa versão acabou não se sustentando com tanta força: a comunidade de cibersegurança percebeu que se tratava de um compilado de informações sensíveis antigas, nada além disso.

Mas com as estruturas sociais mais fragilizadas e sistemas ainda "sambando" em implantar novidades (como o Pix), os cibercriminosos aproveitam para explorar os problemas de segurança. Neste cenário, praticamente ninguém ficou a salvo e as empresas também foram atacadas.

Chilli Beans, EA Games, Bose, JBS, Colonial Pipeline, Toshiba, CD Projekt Red e dezenas de outras tiveram dados roubados, sites e páginas colocados fora do ar ou sofreram outros tipos de prejuízos.

E como não poderia deixar de ser, os órgãos públicos também foram visados. No Brasil, o Supremo Tribunal Federal (STF) e a Biblioteca Nacional estiveram entre os alvos.

E o modus operandi dos criminosos tem um padrão: o ransomware. Ele é um tipo de malware que infecta sistemas e criptografa os arquivos, tornando-os "reféns". Para liberar novamente o acesso, os cibercriminosos cobram um valor (geralmente em bitcoin) para que as empresas façam o "resgate" e retomem os arquivos ou servidores trancados.

Empresas de energia também foram alvo

Com a mira completamente sem direção, os chamados "black hats", hackers mal-intencionados, e cibercriminosos no geral também fizeram vítimas empresas e órgãos públicos do setor de energia do Brasil.

Foram pelo menos cinco instituições que sofreram ataques desde março do ano passado: EDP, Enel, Light, Copel e Eletronuclear. As ações criminosas não chegaram a afetar a distribuição ou fornecimento de energia, mas vazaram dados e afetaram os sistemas administrativos das empresas.

O setor está preocupado: o cenário atual soma a conta de luz que está mais cara (devido à crise hídrica) e em que o racionamento é uma possibilidade (o ministro de Minas e Energia, Bento Albuquerque, chegou a pedir "uso consciente" da água e energia elétrica).

Estação de distribuição de energia elétrica brasileira.

Os riscos

Júlio Oliveira, gerente de tecnologia da Hitachi ABB Power Grids, empresa global de tecnologias para geração de energia, explica ao TecMundo que as companhias do setor elétrico viraram alvo (assim como as de água, óleo e gás) porque ataques bem-sucedidos nesses campos podem trazer grande repercussão, já que paralisações podem efetivamente prejudicar o cotidiano da população.

Sobre os riscos efetivos, ele argumenta que são variados, já que dependem do tipo da ação criminosa. Contudo, Oliveira especifica dois ataques que podem comprometer seriamente a operação de uma estrutura de energia elétrica.

O primeiro são os ataques que causam a indisponibilidade do Sistema de Supervisão e Aquisição de Dados (SCADA) e Dispositivos Eletrônicos Inteligentes (IEDs), ferramentas utilizadas na automação das plantas.

Usina Hidrelétrica Itaipu Binacional.

"Uma invasão que possa corromper, apagar ou substituir arquivos usados nestes processos ou equipamentos compromete de forma crucial a operação de uma planta industrial ou de uma subestação de energia, impedindo a execução de manobras ou acionamentos por parte dos operadores quando essas ações são demandadas", conta.

No caso dos ransomwares, o executivo afirma que os black hats podem tomar, de certa forma, o controle das plantas e subestações em um golpe mais sério. Nessa situação hipotética, a empresa de energia ou companhia ficaria sem autonomia para tomar decisões operacionais, já que o cibercriminoso pode criptografar as informações do sistema e exigir um pagamento para devolver o acesso.

O Brasil pode ficar no escuro?

Sobre o risco de os brasileiros serem efetivamente afetados por possíveis novos ataques bem-sucedidos ao setor de energia, o gerente de tecnologia da Hitachi ABB Power Grids é taxativo: "uma vez que não há mais controle sobre o sistema, as consequências podem ser desastrosas".

"Consequências podem ser desastrosas", Júlio Oliveira, gerente de tecnologia da Hitachi ABB Power Grids

Outro alerta muito importante que ele faz, é que boa parte dos sistemas de missão crítica dos setores de energia, óleo, gás e água "não está devidamente protegido contra estas ameaças", o que deixa o cenário preocupante.

O TecMundo entrou em contato com o Ministério de Minas e Energia (MME) para falar sobre a situação. Por e-mail, a pasta admitiu que novos ataques cibernéticos em infraestruturas críticas, como o setor elétrico, "podem gerar fortes impactos, incluindo a indisponibilidade dos serviços de energia".

Apagão em São Paulo no ano de 2013. (Foto: Mauricio Lima/AFP/VEJA)

A pasta salienta, porém, que os problemas seriam causados independentemente da crise hídrica que o país tem vivido. A instituição ainda afirma que o país corre riscos neste ou em "qualquer outro cenário energético".

A reportagem também entrou em contato com a Agência Nacional de Energia Elétrica (Aneel), autarquia federal que tem entre as atribuições regular e fiscalizar a produção, transmissão e distribuição de energia. A instituição não respondeu aos pedidos de comentário sobre o assunto.

Como evitar um possível apagão?

Devido à possibilidade concreta de novos ataques hackers causarem um apagão no país, as entidades públicas e privadas brasileiras disseram que estão se movimentando para trazer segurança ao setor energético.

O MME pontua que várias ações foram implementadas não só por órgãos públicos, mas também por empresas para "prevenir, identificar, isolar e minimizar" os estragos de possíveis ações de cibercriminosos.

Entre as medidas, está uma alteração dos Procedimentos de Rede (Rotina Operacional) do Operador Nacional do Sistema Elétrico (ONS). O ministério também disse que a Aneel tomou medidas no âmbito burocrático para debater o assunto.

O Conselho Nacional de Política Energética (CNPE) da Aneel publicou a Resolução n° 01/2021, que instituiu um grupo de trabalho que visa estabelecer novas diretrizes de segurança cibernética para o setor.

O texto da Resolução lembra que, somente em 2020, foram identificados pelo menos cinco ataques às empresas ou entidades do setor de energia, e que apesar de eles não causarem interrupção no fornecimento, acabaram causando "transtornos na prestação de serviços gerais para a população".

Detalhes mais claros sobre como está sendo feito o trabalho de cibersegurança não foram comentados.

O gerente de tecnologia da Hitachi ABB Power Grids defende a ideia de que as empresas brasileiras que operam com sistemas de missão crítica aumentaram sua preocupação com a defesa cibernética nos últimos cinco anos. De acordo com ele, o país tem avançado nesse quesito principalmente por causa das técnicas de indústria 4.0, que estão automatizando e digitalizando cada vez mais as operações.

Oliveira explica que no caso da Hitachi ABB Power Grids, a companhia tem priorizado melhorias para oferecer sistemas, produtos e soluções mais seguras no quesito cibersegurança. Ele comenta que a empresa aplica tecnologias que seguem normas internacionais de segurança, tudo para proteger os sistemas de missão crítica.

"A relevância para o tema é uma preocupação constante para nós desde a concepção das nossas soluções até a entrega dos projetos. Um exemplo onde os cuidados em relação à cibersegurança são observados é na engenharia das aplicações de Smart Digital Substations, uma das vertentes tecnológicas do Grid 4.0".

Júlio Oliveira, gerente de tecnologia da Hitachi ABB Power Grids.

O executivo pontua que, em contrapartida, não se pode impedir que um ataque cibernético ocorra, já que os scripts kiddies/lammers (usuários de internet com conhecimento raso em cibercrime) e cibercriminosos investem tempo e recursos de maneira incessante para achar brechas nos sistemas. Os chamados Industrial Control Systems (ICS), inclusive, têm se tornado alvo desse público desde 2010, após o Stuxnet, um ataque cibernético israelense-americano, lembra Oliveira.

"Mas ainda há muito o que fazer para proteger esses ativos, principalmente no que concerne na compreensão de que investimentos para este propósito podem evitar problemas de disponibilidade dos serviços prestados e de imagem em um futuro próximo", finaliza.

A torcida e esperança dos brasileiros é que as ações tomadas pelas empresas e órgãos públicos sejam o suficiente para evitar que todos voltem, depois de quase duas décadas, a ficar na escuridão.