A cibersegurança para concessionárias, que são serviços essenciais, viraram alvo prioritário. Em 2026, nem todo ataque quer dinheiro. Neste artigo: o que mudou na porta de entrada dos ataques, como o risco se manifesta de forma diferente em energia, gás e saneamento, o que a regulação já exige de cada setor, onde ainda existe lacuna, e as sete camadas de defesa que a PWS Cloud recomenda para infraestruturas críticas. 

A nova linha de frente do cibercrime é a infraestrutura crítica 

Os ataques deixaram de mirar apenas bancos e varejo. Hoje o alvo preferencial é aquilo que a sociedade não pode perder: os serviços essenciais. E o volume não recuou; apenas encontrou um novo patamar. 

Segundo os relatórios trimestrais de inteligência de ameaças do NCC Group, o primeiro trimestre de 2026 fechou com 2.112 ataques de ransomware registrados no mundo, e o segundo trimestre subiu 3%, chegando a 2.229, o que soma cerca de 4.400 ocorrências apenas no primeiro semestre. O setor industrial, que engloba boa parte das utilities, foi o mais visado do período, concentrando 30% dos ataques no trimestre. É um patamar operando acima de boa parte de 2025, reflexo do amadurecimento do modelo Ransomware-as-a-Service. 

No Brasil, o cenário é igualmente tenso. O relatório Cenário Global de Ameaças 2026, do FortiGuard Labs, divulgado em abril de 2026 com dados consolidados de 2025, aponta que o país concentrou 753,8 bilhões de tentativas de ataques cibernéticos ao longo daquele ano, o equivalente a 84% de tudo o que foi registrado na América Latina, colocando o Brasil entre os sete países mais atacados do mundo. Outubro de 2025 foi o mês mais intenso, com 198 bilhões de tentativas, e governo, educação e serviços de energia estiveram entre os principais alvos do período. 

A pressão continuou em 2026: dados da Check Point Research indicam que, em fevereiro de 2026, organizações brasileiras sofreram uma média de 3.736 ataques cibernéticos por semana, alta de 37% na comparação anual e bem acima da média global de 2.086 ataques semanais por organização. 

Olhando especificamente para o setor elétrico brasileiro, os números públicos mais recentes são do primeiro semestre de 2025: a Câmara de Comercialização de Energia Elétrica (CCEE) bloqueou 539 milhões de tentativas de ataque no período, enquanto a ANEEL reportou 535 mil tentativas. No consolidado do ano, levantamento da ESET identificou 101 organizações brasileiras vitimadas por ransomware em 2025, atingidas por 32 grupos diferentes em 13 setores. 

Cibersegurança para concessionárias: por que elas são alvos tão atrativos?

A combinação de fatores que torna o setor essencial também o torna vulnerável. Entender esses vetores é o primeiro passo da defesa. 

• Convergência entre TI e OT. Sistemas SCADA e de controle industrial (ICS), antes isolados, hoje estão conectados às redes corporativas e à nuvem. Isso amplia o raio de explosão de um ataque: uma brecha em TI pode alcançar a operação física. 

• Ativos legados. Equipamentos e sistemas de controle projetados há mais de uma década raramente recebem atualizações de segurança e não foram concebidos para o cenário de ameaças atual, nem para conviver com IP e Ethernet. 

• Pressão por disponibilidade. Como a operação não pode parar, os criminosos apostam que a concessionária pagará o resgate rapidamente para restabelecer o serviço. Por isso a dupla extorsão, que soma sequestro dos dados e ameaça de vazamento, é a tática dominante no setor. 

• Superfície distribuída e terceiros. Plantas remotas, telemetria, sensores de IoT e acessos de fornecedores multiplicam os pontos de entrada. Em ambientes de utilities, o acesso de terceiros costuma ser a área de controle menos madura. 

➡️ Baixe o infográfico completo da PWS Cloud

O que mudou em 2026: a porta de entrada 

Este é o ponto que muda a prioridade de investimento. O Data Breach Investigations Report 2026 da Verizon, publicado em maio de 2026, registrou a exploração de vulnerabilidades ultrapassando o roubo de credenciais como principal vetor inicial de violação pela primeira vez em 19 anos de relatório: 31% contra 13%. A edição analisou mais de 31 mil incidentes e 22 mil violações confirmadas em 145 países. 

Onde essas vulnerabilidades estão sendo exploradas? Em VPNs corporativas e dispositivos de borda expostos à internet. O NCC Group identificou esse conjunto como o ponto de entrada mais explorado do ecossistema de ransomware em 2026, com grupos como Akira, Qilin e The Gentlemen abusando de falhas em produtos de fornecedores como Fortinet, SonicWall, Citrix e Check Point para contornar a autenticação. Falhas em produtos de VPN responderam por cerca de 15% dos mais de 150 alertas de inteligência emitidos pela empresa no ano. 

E a janela para reagir encolheu. O mesmo relatório da Fortinet aponta que o tempo entre a divulgação de uma vulnerabilidade crítica e o início de sua exploração caiu de quatro dias para 24 horas, impulsionado pelo uso de inteligência artificial pelos atacantes. 

Tradução prática para uma concessionária: o firewall de borda que dá acesso remoto ao integrador da subestação, à estação elevatória ou ao city gate é, hoje, estatisticamente a porta mais provável. Não o e-mail do estagiário. 

Três setores, três perfis de risco 

Energia, gás e saneamento são tratados juntos como infraestrutura crítica, mas o risco se materializa de forma diferente em cada um. Generalizar é o que faz um programa de segurança errar a prioridade. 

Energia elétrica 

É o setor mais digitalizado, mais regulado e mais monitorado dos três e, por isso mesmo, o que tem a superfície de ataque mais bem mapeada. A convergência TI/OT já é realidade em centros de operação, e a integração com o ONS impõe controles específicos no ambiente regulado cibernético (ARCiber). A aceleração da medição inteligente na baixa tensão adiciona, a cada ano, centenas de milhares de novos pontos conectados, e cada um deles é um ativo a inventariar, atualizar e monitorar. O risco dominante combina ransomware de dupla extorsão nas redes corporativas com o receio, ainda maior, de propagação lateral para a operação. 

Gás 

Dutos, terminais, estações de redução de pressão e telemetria distribuída formam um ambiente em que a consequência de um incidente é imediatamente física e potencialmente catastrófica. O setor herda controles maduros de segurança operacional, mas segurança operacional e segurança cibernética não são a mesma disciplina, e os regulamentos técnicos existentes tratam predominantemente da primeira. Em ataques recentes ao setor de energia no mundo, o padrão observado foi o comprometimento de sistemas de TI forçando a operação a modos manuais e degradados, sem que o sistema de controle em si fosse tocado. O prejuízo veio da perda de visibilidade e da paralisação administrativa, não da explosão. 

Saneamento 

É o elo mais frágil dos três. Estações de tratamento de água e esgoto operam com telemetria remota, CLPs antigos e equipes de TI historicamente enxutas, num setor que só agora entra num ciclo de investimento pesado. E a exposição não é teórica. 

Em setembro de 2023, a Agência Nacional de Águas e Saneamento Básico (ANA), o próprio órgão que regula o setor, sofreu um incidente cibernético. A resposta adotada foi drástica e reveladora: a agência cortou toda a comunicação com ambientes externos para conter o evento. O restabelecimento foi gradual e levou semanas, com sistemas voltando ao ar aos poucos: primeiro o Monitor das Secas, depois a ferramenta Ficha de Campo usada no monitoramento de poços aquíferos, em seguida o catálogo do Sistema Nacional de Gerenciamento de Recursos Hídricos e o portal de metadados do SNIRH. A ANA relatou ainda ter mantido interlocução com outros órgãos públicos que já haviam passado por incidentes semelhantes. 

O caso é instrutivo por dois motivos. Primeiro, porque mostra que a resposta correta a um incidente sem visibilidade suficiente é cirúrgica e cara: você desliga tudo. Segundo, porque se o regulador, com orçamento público e apoio dos órgãos de cibersegurança do Estado, levou semanas para voltar, a pergunta que uma concessionária precisa se fazer é quanto tempo levaria a sua própria retomada, e quanto custaria cada dia dela. 

Nem todo ataque quer dinheiro 

Há um segundo movimento em curso que muda a lógica de defesa, e ele é contraintuitivo porque vem disfarçado de boa notícia. 

O Waterfall Threat Report 2026 registrou 57 violações cibernéticas industriais com consequências físicas em 2025, uma queda de 25% em relação aos 76 incidentes de 2024. Lido isoladamente, parece vitória. O relatório alerta que não é: a aparente calmaria na atividade de ransomware estaria mascarando um aumento estratégico de ataques patrocinados por Estados-nação contra infraestrutura crítica e indústria pesada, com grupos hacktivistas recebendo apoio direto quando suas ações servem a objetivos geopolíticos. 

A distinção importa porque muda o objetivo do atacante. Um operador de ransomware quer que você volte a funcionar, depois de pagar. Um ator de sabotagem não quer negociar: quer destruição permanente. Isso já foi observado em campanhas com malware destrutivo (wipers) associadas ao setor de energia e utilidades, em que o objetivo não era extorsão, mas inutilização de dados. 

A consequência prática é direta: contra extorsão, o backup é uma alavanca de negociação. Contra sabotagem, o backup imutável e testado é a única coisa entre você e a perda definitiva. Não é a mesma camada com dois nomes; é a mesma camada com dois níveis de criticidade completamente diferentes. 

Vale registrar que o ransomware segue como a principal preocupação declarada por CISOs no mundo, segundo o Global Cybersecurity Outlook 2026 do Fórum Econômico Mundial. Os dois riscos convivem. 

O custo real de um incidente 

O relatório IBM Cost of a Data Breach 2025, a edição mais recente com números públicos consolidados no momento da publicação deste artigo, aponta que uma violação de dados custa, em média, US$ 4,44 milhões no mundo, e US$ 4,83 milhões no setor de energia, acima da média global. O ciclo médio de vida de uma violação ficou em 241 dias (181 para identificar, 60 para conter), o menor patamar em nove anos. 

O dado mais acionável desse relatório, porém, não é o custo em si: é a diferença que o tempo faz. Violações contidas em menos de 200 dias custaram, em média, US$ 3,87 milhões. Acima desse prazo, US$ 5,01 milhões. A diferença de mais de um milhão de dólares é, essencialmente, capacidade de detecção. E organizações com uso extensivo de IA e automação em segurança economizaram, em média, US$ 1,9 milhão por violação. 

Mas em infraestrutura crítica o prejuízo financeiro direto é apenas parte da conta. Um ataque bem-sucedido significa também paralisação de serviço essencial, risco à segurança física de pessoas e instalações, multas regulatórias, acionamento de respostas de segurança nacional e erosão da confiança pública. 

Para dimensionar o impacto financeiro direto num caso concreto: a Halliburton, prestadora global de serviços para a indústria de energia, comunicou à SEC em 23 de agosto de 2024 o acesso não autorizado aos seus sistemas, atribuído ao grupo RansomHub. A empresa desligou parte da infraestrutura de TI e desconectou clientes; o prejuízo divulgado posteriormente foi de US$ 35 milhões. Para uma companhia com mais de US$ 20 bilhões de receita anual, o impacto foi absorvível. Para uma concessionária de médio porte, uma fatura equivalente pode superar anos de investimento em prevenção. 

O que a regulação exige e onde ainda há lacuna?

Aqui os três setores estão em estágios muito diferentes, e é importante ser preciso. 

Energia elétrica: já existe regra própria 

A Resolução Normativa ANEEL nº 964, de 10 de dezembro de 2021, em vigor desde julho de 2022, dispõe sobre a política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica, obrigando concessionárias, permissionárias e autorizadas a manter política formal e a comunicar situações de crise. Some-se a isso o conjunto de controles do ambiente regulado cibernético (ARCiber), estabelecido nos Procedimentos de Rede do ONS, que alcança os centros de operação dos agentes e a infraestrutura de troca de dados com o Operador. 

Gás e saneamento: a lacuna setorial 

Não há, até a publicação deste artigo, norma setorial de cibersegurança equivalente à REN 964 para gás (ANP) ou saneamento (ANA). O que existe na regulação desses setores trata predominantemente de segurança operacional e de comunicação de incidentes operacionais, não de incidentes cibernéticos. Na prática, isso significa que uma concessionária de gás ou de saneamento hoje responde por cibersegurança principalmente via LGPD, via exigências contratuais de clientes e financiadores, e via responsabilidade civil e regulatória genérica pela continuidade do serviço. 

A ausência de norma específica não é ausência de risco; é ausência de referência. E ela tende a ser preenchida por cima, não por dentro do setor. 

A camada nacional: o que está vindo?

A Política Nacional de Cibersegurança (PNCiber) foi instituída pelo Decreto nº 11.856/2023, criando a estrutura de governança federal. O movimento seguinte tramita no Congresso: o PL 4752/2025 propõe a criação da Autoridade Nacional de Cibersegurança (ANCiber) e de um Programa Nacional de Segurança e Resiliência Digital, com foco explícito em infraestruturas críticas e sistemas ciberfísicos. A proposta prevê sanções administrativas com multas que podem chegar a R$ 50 milhões por infração, aproximando o Brasil de modelos como a diretiva NIS2 europeia. 

Para o setor elétrico, isso é uma segunda camada sobre uma regra que já existe. Para gás e saneamento, é a chegada da primeira exigência com dentes. Quem começar a estruturar agora chega ao prazo com o trabalho feito; quem esperar vai fazer sob pressão e com multa no horizonte. 

Frameworks técnicos de referência 

Independentemente da obrigação legal, os referenciais técnicos consolidados para ambientes de OT são o IEC 62443 (zonas, condutos e níveis de maturidade), o NIST CSF (funções de governança e resposta) e o NERC CIP (proteção de ativos críticos do sistema elétrico). Existe ainda o CSE Brasil, um framework comunitário e aberto que organiza doze domínios de controle combinando IEC 62443, NIST CSF e NERC CIP, adaptados à regulamentação da ANEEL e às características da infraestrutura elétrica nacional. Vale como guia de implementação, não como norma de cumprimento obrigatório. 

Sete camadas de defesa contra ransomware e ataques direcionados 

Não existe bala de prata em segurança. A proteção eficaz é construída em profundidade, combinando tecnologia, processo e pessoas. Estas são as prioridades para uma concessionária, na ordem em que costumam pagar mais rápido. 

• 1. Gestão de vulnerabilidades e superfície exposta. Subiu para o topo da lista com razão: exploração de vulnerabilidade é hoje o vetor inicial número um, e a janela de exploração caiu para 24 horas. Isso exige inventário de ativos, correção priorizada por risco real (não só por CVSS) e atenção obsessiva ao que está exposto na borda: VPNs, firewalls e appliances de acesso remoto. Sistemas legados de OT que não podem ser atualizados entram em regime de compensação por segmentação e monitoramento. 

• 2. Backup imutável e testado. Cópias que não podem ser alteradas ou apagadas por invasores (modelo 3-2-1 com imutabilidade) e testes regulares de restauração. Contra dupla extorsão, é o que elimina a dependência do resgate. Contra sabotagem, é a única defesa que resta. 

• 3. Segmentação entre TI e OT. Isolar as redes de controle industrial das redes corporativas, com zonas e condutos conforme o IEC 62443, para conter a propagação lateral. É o controle que transforma um incidente de TI num incidente de TI, e não numa parada de operação. 

• 4. Zero Trust, MFA e acesso de terceiros. Nenhum acesso confiável por padrão: autenticação multifator, privilégio mínimo e verificação contínua de identidade, com atenção especial a fornecedores, integradores e acessos remotos de manutenção. Credenciais privilegiadas mal geridas continuam sendo o multiplicador de impacto mais comum. 

• 5. Monitoramento 24/7 com SOC. Detecção e resposta contínuas (SOC/SIEM/XDR) que identificam comportamento anômalo antes que o ataque se concretize. É o que separa uma contenção de 200 dias de uma de 20 e, segundo o IBM 2025, mais de um milhão de dólares em custo médio. 

• 6. Plano de resposta a incidentes. Playbooks testados, comunicação de crise (exigida pela ANEEL no setor elétrico) e ensaios periódicos. Inclui a decisão difícil que a ANA precisou tomar: quando desligar, quem autoriza, e como voltar em que ordem. 

• 7. Cultura e treinamento. O elo humano continua sendo vetor de entrada relevante, e a engenharia social potencializada por IA elevou a qualidade dos iscas. Conscientização recorrente e simulações de phishing seguem sendo o controle de menor custo por risco evitado. 

Os primeiros 90 dias 

Se a sua concessionária está começando agora, esta é a sequência que gera resultado mensurável mais rápido e que também serve de evidência de diligência diante do regulador. 

• Dias 1 a 30, enxergar. Inventário de ativos de TI e OT, incluindo o que está exposto na internet. Levantamento de todos os acessos remotos de terceiros. Verificação de qual backup existe, onde está e se é imutável. 

• Dias 31 a 60, fechar o óbvio. Correção emergencial de vulnerabilidades conhecidas em dispositivos de borda. MFA obrigatório em todo acesso remoto e privilegiado. Primeiro teste real de restauração de backup, cronometrado. 

• Dias 61 a 90, sustentar. Monitoramento contínuo em operação, com casos de uso voltados a TI e OT. Plano de resposta a incidentes escrito, com papéis nomeados e critério de desligamento definido. Primeiro exercício de mesa com a diretoria. 

Segurança e continuidade caminham juntas 

Proteger uma infraestrutura crítica não é um projeto pontual: é uma capacidade contínua. Com 15 anos de experiência em nuvem, infraestrutura, cibersegurança e serviços gerenciados, a PWS Cloud combina arquitetura de nuvem segura, monitoramento contínuo e execução consultiva ponta a ponta, do inventário de superfície exposta à operação de detecção e resposta em ambientes que não podem parar. 

O trabalho começa por onde a evidência aponta: o que está exposto, quem tem acesso, e quanto tempo você levaria para voltar. Segurança e disponibilidade, afinal, são dois lados da mesma resiliência. 

Leve este conteúdo para a sua equipe 

Transformamos as principais recomendações deste artigo em um infográfico técnico de referência, pronto para circular entre os times de TI, OT e segurança da sua concessionária. 

Do vetor de acesso inicial à segmentação TI/OT, com o mapa regulatório brasileiro e um plano de 90 dias: 8 painéis técnicos, 20 controles prioritários e 5 marcos regulatórios.