O SOC OT da Vortex monitora ICS e sistemas ciberfísicos 24x7x365, com assessments pela IEC 62443 e dezenas de projetos de adequação à rotina do ONS.
Em resumo: O SOC OT da Vortex, célula do Cyber Defense Center, o NG-SOC Convergente da Vortex, protege ambientes industriais, ICS e sistemas ciberfísicos 24x7x365. A Vortex aplica a IEC 62443 nos assessments e já fez dezenas de projetos de adequação à rotina RO-CB.BR.01 do ONS.
Em pouco mais de duas décadas, os ataques a ambientes industriais deixaram de ser casos isolados e passaram a parar a operação ou a mexer direto no sistema de controle. Nos casos de 2025 e 2026 em que o atacante chegou ao controle, a porta de entrada foi sempre a mais simples: PLC, IHM ou VPN expostos na internet, com senha fraca ou sem MFA.
Na noite de 11 para 12 de outubro, controladores de refrigeração Danfoss de centenas de supermercados foram tomados à distância: geladeiras e freezers chegaram a 50 °C e alimentos foram descartados.
Em julho, um ciberataque deixou um pequeno gerador de energia no Reino Unido fora de operação por quatro dias, sem afetar a rede. O governo confirmou o incidente; a suspeita de ligação com o Irã vem da imprensa.
Em 26 e 27 de julho, um ataque coordenado a PLCs expostos atingiu mais de 30 sistemas de água em Minnesota e tirou do ar a estação de Braham; o FBI relatou casos em ao menos sete estados, com perda de pressão e alagamento.
Em julho, um ransomware atingiu sistemas da Fairlife, da Coca-Cola, inclusive os de produção, e a produção nas quatro fábricas dos EUA foi suspensa; a maior parte voltou em 27 de julho.
Desde março, atores ligados ao Irã alteraram projetos de PLCs Rockwell expostos na internet e manipularam telas de IHM e SCADA em órgãos públicos, água e energia nos EUA, com paradas e prejuízo.
Em março, um ataque assumido pelo grupo Handala, que empresas de segurança ligam ao Irã, apagou aparelhos da Stryker; pedidos, expedição e fabricação ficaram parados por quase um mês.
Em 29 de dezembro, ataques coordenados danificaram o firmware de RTUs em pelo menos 30 parques eólicos e solares e atingiram uma usina de cogeração que atende quase 500 mil clientes. A geração não caiu.
No fim de setembro, um ransomware parou pedidos, expedição e a produção das seis cervejarias da Asahi no Japão; a produção voltou aos poucos a partir de 2 de outubro.
Em setembro, o ataque obrigou a JLR a desligar todos os seus sistemas no mundo; as fábricas ficaram paradas até a retomada gradual em 8 de outubro, com £ 196 milhões em custos do incidente no trimestre.
A ABW, agência de segurança interna da Polônia, relatou invasões a estações de tratamento de água em cinco cidades em 2025; em alguns casos, os invasores podiam alterar parâmetros técnicos dos equipamentos.
Em maio, depois de um acesso não autorizado à TI, a siderúrgica americana Nucor tirou sistemas do ar e parou por precaução parte da produção em várias unidades.
Em abril, invasores abriram por completo uma válvula da barragem pela IHM na internet: 497 litros por segundo a mais por cerca de quatro horas. A polícia de segurança norueguesa culpou hackers pró-Rússia.
Em setembro, um ciberataque levou a estação de tratamento de água de Arkansas City a passar para a operação manual por precaução; o abastecimento não foi interrompido.
Ransomware derrubou o ERP do grupo e levou a contabilidade ao modo manual; sem números em dia, os credores alegaram calote, e as subsidiárias nos EUA pediram recuperação judicial.
Alarme à 1h30 e parada imediata de quatro cervejarias na Bélgica e uma nos EUA. A de Puurs voltou no dia seguinte; as demais, até 11 de março.
Em janeiro, comandos Modbus enviados a controladores de aquecimento de uma empresa de energia de Lviv deixaram mais de 600 prédios sem calefação por quase dois dias, sob temperaturas negativas.
Em janeiro, o grupo pró-Rússia CARR, que a Mandiant liga ao Sandworm, manipulou o controle de uma caixa d'água em Muleshoe, que transbordou por 30 a 45 minutos até a operação passar a ser manual.
Em novembro, o CyberAv3ngers, ligado à Guarda Revolucionária do Irã, tomou o PLC de uma estação de pressão de água, que passou à operação manual. A CISA contou ao menos 75 dispositivos invadidos na campanha.
Ataque com malware, reivindicado pelo grupo Cactus, levou a operadora de armazéns refrigerados a tirar sistemas do ar; muitas unidades ficaram sem receber nem entregar produtos por um tempo.
Ransomware levou a Dole a desligar sistemas na América do Norte, parar plantas e suspender embarques, com falta de saladas embaladas nos mercados. O custo direto foi de US$ 10,5 milhões.
Em abril, o Industroyer2 foi barrado antes de desligar subestações. Em outubro, o Sandworm usou o próprio MicroSCADA da vítima para causar um apagão junto com ataques de mísseis e, dois dias depois, rodou o CaddyWiper.
No fim de janeiro, um ransomware atingiu os sistemas de carga e descarga dos terminais de combustível da Oiltanking na Alemanha, que passaram a operar com capacidade limitada; a Shell desviou o abastecimento.
O ransomware Conti afetou os sistemas da fabricante britânica de salgadinhos, que ficou sem processar pedidos com segurança nem despachar produtos, com falta prevista nas lojas até março.
Ransomware atingiu o SCADA de estações de saneamento: na Califórnia, o Ghost ficou cerca de um mês sem ser detectado e travou três servidores; no Maine, o ZuCaNo levou à operação manual.
O ransomware REvil forçou o fechamento de plantas de carne nos EUA, no Canadá e na Austrália. A empresa pagou US$ 11 milhões de resgate.
Ransomware DarkSide na TI levou à parada preventiva do maior duto de combustíveis dos EUA de 7 a 12 de maio, com corrida aos postos na Costa Leste e resgate de 75 bitcoins (US$ 4,4 milhões).
Ataque cibernético derrubou sistemas e atrasou a operação das cervejarias, a produção e a expedição. Duas semanas depois do aviso, todas as cervejarias voltavam a produzir e expedir.
Ataque parou a produção de fábricas da Honda nos EUA, na Turquia, na Índia e no Brasil. Pesquisadores ligaram o caso ao ransomware EKANS, que encerra processos de sistemas industriais.
Israel relatou tentativas de invadir o controle de estações de bombeamento e tratamento de água e esgoto. Segundo autoridades citadas pela imprensa, o alvo era o cloro; suspeita de autoria iraniana.
Ransomware passou da TI para a OT de uma estação de compressão de gás e atingiu IHMs, historiadores e servidores de coleta: o gasoduto inteiro parou por cerca de 2 dias.
O ransomware LockerGoga atingiu a produtora de alumínio no mundo todo: linhas de extrusão pararam e outras áreas seguiram no modo manual. O custo em 2019 foi de 650 a 750 milhões de coroas norueguesas.
Primeiro malware feito para atacar um sistema instrumentado de segurança (Triconex): a falha do ataque acionou o desligamento seguro de uma planta petroquímica na Arábia Saudita.
Wiper disfarçado de ransomware parou fábricas da Merck e a logística da Maersk e da Mondelez, que perdeu 1.700 servidores e 24 mil notebooks. A Merck cobrou US$ 1,4 bilhão das seguradoras.
Primeiro malware feito para comandar disjuntores de subestação pelos protocolos IEC 101, IEC 104, IEC 61850 e OPC DA: deixou parte de Kiev sem energia por cerca de 1 hora. Atribuído ao Sandworm.
Invasores entraram pelo portal de pagamentos de uma empresa de água, chegaram ao sistema de controle, que rodava no mesmo AS/400, e alteraram a vazão e a dosagem de químicos.
Primeiro apagão causado por ciberataque: invasores abriram disjuntores de 3 distribuidoras pelo SCADA, deixaram cerca de 225 mil clientes sem luz por algumas horas e corromperam firmware em subestações.
Invasores passaram da rede administrativa para a de produção; falhas no controle impediram o desligamento controlado de um alto-forno e causaram danos graves à usina.
Hacker iraniano acusado pela Justiça dos EUA acessou o SCADA de uma pequena barragem em Nova York. Não houve efeito físico porque a comporta estava desconectada para manutenção.
Malware destrutivo apagou dados e inutilizou cerca de 30 mil computadores da Saudi Aramco. Segundo a empresa, a produção de petróleo não foi afetada.
Primeira arma digital sofisticada contra PLCs: sabotou centrífugas de enriquecimento de urânio no Irã, mudando a velocidade dos motores enquanto mostrava valores normais aos operadores.
Adolescente de 14 anos adaptou um controle remoto de TV para mudar os desvios dos trilhos de bonde: 4 bondes descarrilaram e, em um dos acidentes, 12 pessoas ficaram feridas.
O worm Slammer entrou pela linha T1 de um consultor, que contornava o firewall, e deixou o painel de parâmetros de segurança da usina nuclear fora do ar por quase 5 horas. A usina estava parada.
Ex-supervisor da empresa que instalou o SCADA usou rádio, notebook e software do integrador para comandar estações de bombeamento: cerca de 800 mil litros de esgoto vazaram em área residencial.
Com a expansão da conectividade e a inclusão de novos dispositivos inteligentes (IIoT, Industrial Internet of Things) nesses ambientes, o risco se multiplica, especialmente em ambientes que exigem atualizações complexas e longas. Somado à expertise crescente dos cibercriminosos, esse risco afeta o planejamento de curto e de longo prazo dos profissionais do setor.
Fonte: Fortinet, 2023 State of Operational Technology and Cybersecurity Report, pesquisa com 570 profissionais de OT, citada no Industrial Buyers Guide da Claroty
Fonte: Waterfall Security Solutions e ICS STRIVE, 2024 Threat Report, sobre os ataques de 2023
Quando o ataque entra pela rede corporativa e chega à planta, um SOC tradicional, voltado para TI, vê alertas soltos e deixa o OT fora da visão. O NG-SOC Convergente da Vortex correlaciona IT, OT e IA no mesmo contexto de detecção e mostra o caminho inteiro do ataque.
SOC tradicional
NG-SOC Convergente
SOC tradicional: Fila de alertas, sem correlação entre IT, OT e IA: Falha de login · servidor; Conexão bloqueada · firewall; Malware detectado · endpoint; Varredura de portas · DMZ; Login fora do horário; Anexo suspeito · e-mail; Processo incomum · endpoint; Tráfego anômalo · servidor. OT fora da visão do SOC. IA sem visibilidade.
NG-SOC Convergente: 1 incidente priorizado.
Ambiente, alertas e incidente ilustrativos.
O uso de equipamentos de diferentes fabricantes, a diversidade de protocolos industriais e o avanço da transformação digital nas indústrias tornam a segurança cibernética um desafio crescente. O SOC OT dá mais visibilidade da rede industrial e mitiga os riscos cibernéticos com analistas que conhecem os protocolos e os processos de OT.
Com o SOC OT, a indústria avança na modernização e se prepara para integrar tecnologias como IoT, 5G e automação, com ganho de eficiência e de segurança operacional.
Conte com visão granular de dispositivos novos e antigos localizados nos ambientes industriais.
Tenha observabilidade de todos os níveis do seu ambiente OT.
Mantenha a integridade dos seus endpoints.
Segmente suas redes e promova o tráfego seguro entre zonas com diferentes níveis de proteção.
Gerencie os protocolos de cada equipamento de forma centralizada e responda rapidamente aos riscos.
Automação e inteligência artificial para ampliar a velocidade e capacidade de resposta do seu SOC.
Novas ameaças demandam estratégias mais direcionadas. Ao adotar uma abordagem especializada, a Vortex transforma o monitoramento e gestão de ambientes industriais com automação inteligente capaz de promover ações rapidamente, oferecendo um serviço de SOC de nova geração.
Modelo de SLA de referência do Cyber Defense Center, de que o SOC OT faz parte: o MTTA conta o primeiro atendimento do analista Vortex; o MTTR, o chamado solucionado. Condições finais definidas em proposta.
Cada risco é silencioso em condições normais. Juntos formam a superfície invisível de ataque, e mapeá-los é o ponto de partida.
O Risk Assessment da Vortex aplica o Cyber-PHA da ISA/IEC 62443-3-2: em vez de perguntar quais CVEs existem na rede, pergunta o que acontece com o processo se uma função de automação for comprometida.
Em cinco etapas e dois workshops, o risco é medido de 1 a 25 por severidade e probabilidade, os controles são vinculados à ISA/IEC 62443-3-3 e o relatório executivo traduz tudo para a decisão de investimento.
A segurança de OT tem referências próprias. A série IEC 62443 é a base internacional para proteger sistemas de automação e controle industrial. No setor elétrico, a REN ANEEL nº 964/2021 e a rotina operacional RO-CB.BR.01 do ONS somam exigências regulatórias a essa base.
Série de normas da ISA e da IEC para sistemas de automação e controle industrial. Agrupa os ativos em zonas, controla a comunicação entre elas por conduítes e define quatro níveis de segurança, do SL 1 ao SL 4, conforme a capacidade do atacante.
Em vigor desde 1º de julho de 2022, exige dos agentes do setor elétrico uma política de segurança cibernética aprovada pelo conselho de administração ou órgão equivalente e a notificação dos incidentes de maior impacto.
Fixa os controles mínimos do Ambiente Regulado Cibernético (ARCiber): zonas de supervisão, DMZ operativa e corporativa, acesso remoto por VPN, inventário de ativos, gestão de correções, controle de acessos e monitoramento.
A Vortex aplica a IEC 62443 nos assessments de ambientes OT, com a definição de zonas, conduítes e níveis de segurança. Também já fez dezenas de projetos de adequação à RO-CB.BR.01, e seus serviços de OT atendem aos controles do ARCiber.
Os profissionais e as metodologias da Vortex seguem as principais boas práticas, padrões e diretrizes do mercado, para que as organizações tenham a certeza de que recebem a melhor gestão de riscos de cibersegurança. O NIST CSF 2.0 organiza essa gestão em seis funções. A primeira, Governar, estabelece a estratégia, as expectativas e a política de gestão de riscos de cibersegurança e orienta as outras cinco.
Entender os riscos de cibersegurança atuais da organização, a partir dos ativos, dos fornecedores e dos riscos ligados a eles.
Usar salvaguardas para gerenciar os riscos de cibersegurança e reduzir a probabilidade e o impacto de eventos adversos.
Encontrar e analisar possíveis ataques e comprometimentos, a partir de anomalias e indicadores de comprometimento.
Agir sobre um incidente de cibersegurança detectado e conter os efeitos dele.
Restaurar a tempo os ativos e as operações afetados por um incidente de cibersegurança.
Ao estabelecer um alto nível de detecção e resposta, a Vortex amplia o uso de recursos, abre caminhos para a inovação e automação de ambientes industriais.
Ao seguir a jornada de segurança em CPS do Gartner, a Vortex tem a capacidade de proporcionar as melhores indicações para cada demanda e objetivos do cliente. Com isso, o cliente avança nos níveis de maturidade e chega a processos efetivos de segurança nos ambientes industriais.
A trajetória da Vortex é marcada por projetos pioneiros e pela capacidade de enfrentar os desafios mais complexos em segurança cibernética industrial. Com uma abordagem proativa, a Vortex ajuda os clientes a se antecipar às ameaças e a manter as operações seguras e sem interrupção.
Sua capacidade de gestão de centenas de milhares de ativos, em um CDC de grande acuracidade e proativo na antecipação de ameaças, permite a orquestração completa de soluções e recursos, com automação de processos, técnicas de threat intelligence e uso crescente de IA.
Para maximizar a eficácia e o alcance do SOC OT, a Vortex Security estabelece parcerias estratégicas com líderes globais em tecnologia e segurança cibernética. Assim, os clientes têm acesso às ferramentas mais recentes e eficazes na proteção de seus ambientes OT.
Na segurança de OT, a Vortex é a principal parceira da Claroty no Brasil e a mais qualificada tecnicamente, com dois prêmios da Claroty: Technical LATAM Partner of the Year, em 2024, e o do primeiro projeto Claroty da região Nordeste, em 2025.
Episódio #07 28/10/2026 · 1h24Os custos que aparecem quando um ataque atinge a operação, do tempo de produção perdido ao impacto na cadeia de fornecimento, por que os ambientes OT pedem uma abordagem diferente da TI tradicional e como a indústria se prepara para que um incidente não vire prejuízo.
Victor El'osta, Head de Inteligência de Mercado, Inovação e Inteligência Artificial da Vortex, recebe Julio Concilio, Wilson Almeida e Lourival Júnior.
Assista no YouTube (abre em nova aba)Resumo, capítulos e transcriçãoÉ uma célula do Cyber Defense Center, o NG-SOC Convergente da Vortex, especializada em ambientes industriais, ICS e sistemas ciberfísicos (CPS), com monitoramento 24x7x365. Os analistas têm formação em segurança industrial e conhecem os protocolos e processos de OT, e os playbooks respeitam as restrições operacionais da planta. O foco é a operação ininterrupta. Para comparar fornecedores, veja o que pedir a um SOC terceirizado em OT.
Porque, quando o ataque entra pela rede corporativa e chega à planta, um SOC voltado só para TI vê alertas soltos e deixa o OT fora da visão. No NG-SOC Convergente, a telemetria industrial é correlacionada com os eventos de TI, e o ataque aparece de ponta a ponta, do phishing no escritório à tentativa de manipular um controlador na planta. Na pesquisa de 2023 da Fortinet com 570 profissionais de OT, citada no Industrial Buyers Guide da Claroty, 32% dos entrevistados tiveram os sistemas de TI e de OT afetados no mesmo ataque, contra 21% em 2022.
O monitoramento é feito para proteger o processo sem parar a produção. A descoberta e o inventário dos ativos de OT são passivos, sem impacto operacional, o que importa porque há ativos legados que não admitem agentes. Os playbooks de resposta respeitam as restrições operacionais da planta, e a gestão de exposição respeita as janelas de manutenção industrial.
Sim. A Vortex aplica a IEC 62443 nos assessments de ambientes OT, com a definição de zonas, conduítes e níveis de segurança, e vincula cada controle recomendado aos requisitos da ISA/IEC 62443-3-3 para o nível de segurança-alvo (SL-T). No case de saneamento, o Cyber-PHA da ISA/IEC 62443-3-2 levou o risco inaceitável a zero sem trocar o parque de automação.
Uma lista de CVEs diz o que existe na rede; o risco diz o que acontece com o processo se uma função de automação for comprometida. O Risk Assessment da Vortex usa o Cyber-PHA da ISA/IEC 62443-3-2 e mede o risco de 1 a 25 por severidade e probabilidade, com a consequência em pessoas, meio ambiente, finanças e reputação. O scan de vulnerabilidades continua existindo, mas entra como evidência da probabilidade, não como resultado final.
São cinco etapas e dois workshops: escopo e stakeholders, ator de ameaça de referência, funções e consequências por nível Purdue, severidade e probabilidade e, por fim, risco, controles e risco residual. A empresa recebe o Cyber-PHA completo, o inventário de ativos de TI e OT, o levantamento de vulnerabilidades, a avaliação de conformidade com o NIST SP 800-82, com lacunas ranqueadas, os controles da ISA/IEC 62443-3-3 por nível de segurança, a topologia atual e a arquitetura-alvo e um relatório executivo para a diretoria, com orientação de investimento.
Sim. A Vortex já fez dezenas de projetos de adequação à RO-CB.BR.01 do ONS, e seus serviços de OT atendem aos controles do Ambiente Regulado Cibernético (ARCiber), como inventário de ativos, DMZ operativa, acesso remoto por VPN, gestão de correções, controle de acessos e monitoramento.
Na maioria dos casos públicos, por uma porta de entrada simples: e-mail de phishing, acesso remoto ou VPN, credenciais vazadas ou um fornecedor, como a atualização de software comprometida que levou o NotPetya à Mondelez. Quando o ataque entra pela rede corporativa e avança até a planta, a correlação entre TI e OT ajuda a detectar cedo esse movimento lateral.
Agende uma conversa com os especialistas da Vortex e descubra como fortalecer a estratégia de proteção e elevar o nível de maturidade da sua operação:
Atualizado em
