Sistemas OT com senha padrão: sua infraestrutura está exposta

Você já parou para pensar que a sua empresa pode estar a um clique de distância de um ataque devastador? A recente onda de ataques a sistemas de tecnologia operacional (OT) nos Estados Unidos acendeu um alerta vermelho para o mundo inteiro. Senhas padrão, acesso direto à internet e falta de segmentação de rede estão entre as principais portas de entrada para criminosos. E o pior: a maioria das organizações não está preparada para lidar com essa ameaça.

Segundo o relatório da Operational Technology Cybersecurity Coalition (OTCC), divulgado esta semana, centenas de sistemas de água em pelo menos 12 estados americanos foram alvo de ataques recentes. Os invasores exploraram falhas básicas que poderiam ter sido evitadas com medidas simples de higiene cibernética. A situação é tão grave que a coalizão está pressionando a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) a criar uma diretiva obrigatória para proteger esses ambientes.

Mas não se engane: o problema não é exclusivo dos Estados Unidos. No Brasil, sistemas de infraestrutura crítica também estão expostos. E a sua empresa pode ser a próxima vítima.

O que são sistemas OT e por que eles são um alvo tão fácil?

Sistemas de tecnologia operacional (OT) são aqueles que controlam processos físicos: energia, água, climatização, controle de acesso e automação predial. Eles estão presentes em hospitais, laboratórios, prédios governamentais e até mesmo em condomínios comerciais. A diferença crucial é que, ao contrário dos sistemas de TI tradicionais, muitos dispositivos OT não foram projetados com segurança em mente.

Imagine um sistema de ar-condicionado de um data center. Se ele for invadido, o criminoso pode aumentar a temperatura e derrubar servidores inteiros. Ou um sistema de controle de acesso: se for hackeado, as portas se abrem sem restrição. O impacto vai muito além do mundo digital — pode causar danos físicos, interrupção de serviços essenciais e até riscos à vida humana.

O relatório da OTCC destaca que, em muitos incidentes, os dispositivos estavam expostos diretamente à internet, sem nenhuma camada de proteção. Além disso, utilizavam senhas padrão de fábrica ou não possuíam autenticação. É como deixar a porta da frente da sua casa aberta, com um aviso: “Entre e leve o que quiser”.

Senhas padrão: o pecado capital da segurança OT

Você sabia que ainda existem dispositivos OT com senhas como “admin” ou “1234”? Essas credenciais são amplamente conhecidas e estão disponíveis em manuais públicos. Os invasores usam ferramentas automatizadas para escanear a internet em busca desses dispositivos vulneráveis. Em questão de minutos, eles conseguem acesso total ao sistema.

E não é só isso. Muitos fabricantes nunca lançam atualizações de segurança para seus produtos. O resultado é um parque de dispositivos obsoletos e completamente indefesos. A OTCC recomenda que as agências federais eliminem imediatamente as senhas padrão e implementem autenticação forte. Mas essa orientação vale para qualquer organização, em qualquer lugar do mundo.

O alerta que vem das agências federais dos EUA

A CISA já adotou diretivas obrigatórias em outras situações críticas. Agora, a OTCC quer que a agência crie uma Binding Operational Directive (BOD) específica para OT. O objetivo é estabelecer requisitos mínimos de segurança, como inventário de ativos, segmentação de redes e controles de acesso remoto.

Um dado alarmante: das 22 agências civis avaliadas, apenas 7 concluíram o inventário de dispositivos OT e IoT exigido pela Casa Branca. Ou seja, a maioria nem sabe quantos dispositivos vulneráveis possui. Como proteger aquilo que você não conhece?

Essa falta de visibilidade é um prato cheio para os criminosos. Enquanto as organizações não mapearem seus ativos, os invasores continuarão explorando as brechas. E o avanço da inteligência artificial só piora a situação: ferramentas de ataque estão cada vez mais sofisticadas e acessíveis.

O papel da responsabilidade na segurança OT

Um dos maiores desafios é a “zona cinzenta” de responsabilidade. Quem cuida da segurança dos sistemas OT: a equipe de TI ou a equipe de facilities? Em muitas empresas, essa definição não existe. O resultado é que ninguém assume a responsabilidade, e as vulnerabilidades ficam sem correção.

A OTCC recomenda que cada agência designe um executivo ou escritório específico para a segurança OT. Essa estrutura seria responsável por gerenciar o inventário, definir configurações seguras e preparar planos de resposta a incidentes. Sem um dono claro, a segurança simplesmente não acontece.

Celular roubado: o elo entre sua vida digital e a infraestrutura crítica

Você pode estar se perguntando: “O que um celular roubado tem a ver com sistemas OT?”. A resposta é: tudo está conectado. Hoje, muitos sistemas de controle predial podem ser acessados remotamente por aplicativos de smartphone. Se o seu celular cair nas mãos erradas, o criminoso pode ter acesso a esses sistemas.

Além disso, o celular é a chave para a sua identidade digital. Com um aparelho desbloqueado, o ladrão pode acessar e-mails corporativos, aplicativos de autenticação e até mesmo sistemas de monitoramento. É por isso que a proteção do dispositivo móvel é tão importante quanto a proteção dos servidores.

Se o seu celular for roubado ou furtado, aja imediatamente:

• Bloqueie o chip e o IMEI junto à operadora.
• Altere todas as senhas de contas críticas (e-mail, bancos, redes sociais).
• Revogue os tokens de autenticação de aplicativos como Google Authenticator ou Microsoft Authenticator.
• Monitore suas contas em busca de atividades suspeitas.

E o mais importante: ative a autenticação de dois fatores em todos os serviços possíveis. Isso dificulta muito a vida do criminoso, mesmo que ele tenha acesso ao seu aparelho.

Lições práticas para proteger sua organização agora

Não espere uma diretiva governamental para agir. A segurança da sua infraestrutura OT é sua responsabilidade hoje. Aqui estão as medidas imediatas que você deve implementar:

Além dessas medidas, é fundamental manter backups testados e planos de recuperação. Em caso de ataque, a capacidade de restaurar rapidamente os sistemas pode ser a diferença entre um incidente controlado e uma catástrofe.

Leia também: Botnet Popa: sua TV box pode estar vazando seus dados. Esse caso mostra como dispositivos aparentemente inofensivos podem se tornar armas nas mãos de criminosos. E não deixe de conferir: 974 Falhas Microsoft: Atualize Já e Proteja-se de Golpes SMS, um alerta sobre a importância das atualizações de segurança.

Kzarka: sua aliada na proteção contra vazamentos e roubo de identidade

Enquanto você fortalece a segurança da sua infraestrutura, não se esqueça da sua própria identidade digital. Vazamentos de dados são a porta de entrada para golpes e invasões. Eles expõem senhas, números de documentos e informações pessoais que podem ser usadas contra você.

A Kzarka é uma plataforma especializada em monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Com ela, você descobre se suas informações foram expostas na dark web e recebe alertas em tempo real sobre novas ameaças. Não espere ser a próxima vítima.

Acesse https://kzarka.com agora mesmo e verifique gratuitamente se seus dados vazaram. Monitore sua identidade digital e durma tranquilo sabendo que você está no controle.