O ataque de fevereiro de 2021 à estação de tratamento de água de Oldsmar, na Flórida, começou com uma única credencial comprometida. Em poucos minutos, um invasor havia obtido acesso remoto e tentado envenenar o abastecimento de água de 15.000 moradores, aumentando os níveis de hidróxido de sódio para concentrações perigosas. Apenas a intervenção rápida de um operador presente no local evitou a catástrofe.
Esse incidente cristaliza uma mudança fundamental na segurança da infraestrutura crítica. À medida que os sistemas de tecnologia operacional (OT) convergem com as redes de TI, a tradicional defesa por isolamento físico (air-gap) se dissolveu. O que resta é uma arquitetura de autenticação projetada para ambientes de escritório, agora protegendo sistemas que controlam redes elétricas, refinarias e abastecimentos de água.
O problema da convergência
As organizações do setor de energia enfrentam um desafio de autenticação sem precedentes. Sistemas legados de OT, projetados para isolamento e confiabilidade, agora exigem conectividade para eficiência e monitoramento. Enquanto isso, os sistemas de TI exigem flexibilidade e conveniência para o usuário. O resultado é um ambiente híbrido em que sistemas de controle industrial compartilham infraestrutura de rede com aplicações corporativas, cada um regido por modelos de segurança incompatíveis.
A complexidade se multiplica na infraestrutura energética típica. Uma única instalação pode hospedar sistemas de controle distribuído que gerenciam turbinas, redes SCADA que monitoram linhas de transmissão, sistemas de planejamento de recursos empresariais que acompanham a manutenção, e plataformas de análise em nuvem que otimizam o desempenho. Cada sistema exige autenticação, mas nenhum foi projetado para funcionar de forma segura em conjunto com os outros.
Essa convergência cria o que os pesquisadores de segurança chamam de "dispersão de credenciais" (credential sprawl) — a proliferação de nomes de usuário, senhas, certificados e tokens em diferentes sistemas. Os trabalhadores que gerenciam tanto sistemas de TI quanto de OT frequentemente reutilizam credenciais ou as armazenam em locais acessíveis para manter a eficiência operacional. O resultado é uma superfície de ataque ampliada, na qual o comprometimento de uma única credencial pode se propagar em cascata por ambos os domínios.
A escala da exposição
Dados recentes revelam a magnitude dessa vulnerabilidade. O Relatório de Investigações de Violação de Dados de 2023 da Verizon constatou que 49% das violações envolveram credenciais roubadas, com os setores de infraestrutura crítica registrando um aumento de 13% ano a ano. Especificamente no setor de energia, a Equipe de Resposta a Emergências Cibernéticas de Sistemas de Controle Industrial (ICS-CERT) relatou 70 incidentes em 2022, dos quais 43% foram atribuídos a ataques baseados em credenciais.
Ainda mais alarmante é a própria tendência de convergência. O Relatório Anual de Cibersegurança Industrial de 2023 da Dragos Inc. constatou que 74% das organizações industriais já apresentam algum nível de convergência entre as redes de TI e OT, em comparação com 52% em 2020. No entanto, apenas 31% implementaram políticas de autenticação unificadas em ambos os domínios.
As implicações financeiras são substanciais. De acordo com o Relatório de Custo de uma Violação de Dados de 2023 da IBM, as violações de infraestrutura crítica custam, em média, US$ 5,04 milhões — 4,5% acima da média global. Especificamente para as empresas de energia, os custos de interrupção operacional podem superar em dez vezes os custos de remediação de segurança, já que interrupções prolongadas desencadeiam penalidades regulatórias e exigências de compensação a clientes.
Talvez o mais preocupante seja o problema da persistência. O relatório M-Trends 2023 da Mandiant constatou que os invasores mantêm acesso a redes de infraestrutura crítica por uma média de 146 dias antes de serem detectados. Durante esse período, eles frequentemente estabelecem múltiplos pontos de apoio baseados em credenciais, tornando a remediação completa extremamente difícil.
Por que as soluções atuais são insuficientes
As abordagens tradicionais de gerenciamento de identidade e acesso se mostram inadequadas para esse ambiente convergente. Os sistemas de single sign-on, projetados para a conveniência de TI, muitas vezes não conseguem se integrar a protocolos industriais. As ferramentas de gerenciamento de acesso privilegiado podem proteger contas de alto valor, mas deixam expostas as credenciais padrão de OT. A autenticação multifator, embora valiosa, pode ser contornada por meio de credential stuffing ou engenharia social.
O problema fundamental é mais profundo do que a escolha das ferramentas. A maioria dos sistemas de autenticação parte do princípio de que os usuários devem criar, conhecer e controlar suas próprias credenciais. Esse modelo centrado no usuário prioriza a conveniência em detrimento da segurança, permitindo a reutilização de senhas, a escolha de credenciais fracas e práticas de armazenamento inseguras.
As arquiteturas de Zero Trust, cada vez mais populares na TI empresarial, enfrentam limitações semelhantes em ambientes de OT. Embora a verificação contínua melhore a postura de segurança, esses sistemas ainda dependem da autenticação inicial baseada em credenciais. Se essas credenciais subjacentes forem comprometidas, a verificação do Zero Trust perde o sentido.
Repensando o controle de credenciais
Uma solução estrutural exige abandonar completamente as credenciais controladas pelo usuário. Em vez de permitir que os trabalhadores criem e gerenciem tokens de autenticação, as organizações devem gerar, distribuir e revogar todas as credenciais por meio de sistemas centralizados. Os usuários nunca deveriam ver, armazenar ou controlar as credenciais que lhes concedem acesso.
Essa abordagem, exemplificada por soluções como a tecnologia patenteada de controle de credenciais da MyCena, inverte o modelo tradicional. Em vez de proteger as credenciais em posse do usuário, ela elimina completamente a visibilidade do usuário sobre as credenciais. O acesso se torna à prova de phishing, pois os trabalhadores não conseguem compartilhar inadvertidamente o que não possuem.
A tecnologia criptografa e distribui as credenciais automaticamente com base nos requisitos da função e nas políticas de segurança. Quando o acesso é necessário, o sistema fornece tokens temporários e criptografados que autenticam sem conhecimento do usuário. A revogação se torna instantânea, já que as credenciais existem apenas dentro do sistema gerenciado.
Para aplicações no setor de energia, esse modelo atende tanto aos requisitos de TI quanto aos de OT. Os sistemas de TI se beneficiam de uma autenticação contínua, sem a sobrecarga de gerenciamento de senhas. Os sistemas de OT ganham recursos modernos de autenticação sem comprometer a confiabilidade operacional. A abordagem unificada elimina a dispersão de credenciais ao centralizar todos os tokens de autenticação sob controle organizacional.
O imperativo estratégico
Os líderes do setor de energia enfrentam uma escolha clara. A convergência entre sistemas de TI e OT é irreversível, impulsionada pelas exigências de eficiência e pelas iniciativas de transformação digital. As abordagens tradicionais de gerenciamento de credenciais, projetadas para ambientes mais simples, não conseguem proteger essa nova realidade.
A pressão regulatória intensifica esse cronograma. A Diretiva NIS2 da UE, em vigor desde outubro de 2024, exige explicitamente que os operadores de infraestrutura crítica implementem medidas de cibersegurança "de última geração". Os operadores de oleodutos e gasodutos dos EUA enfrentam requisitos semelhantes sob as diretrizes da Administração de Segurança de Transporte (TSA), após o ataque de ransomware de 2021 à Colonial Pipeline.
A solução exige reconhecer que identidade e acesso são conceitos distintos. Os trabalhadores precisam de identidade verificada para desempenhar suas funções, mas não precisam deter as credenciais que concedem acesso ao sistema. Ao separar essas funções, as organizações podem manter a eficiência operacional ao mesmo tempo em que alcançam uma resiliência de segurança sem precedentes.
A questão não é se os ataques baseados em credenciais vão visar a infraestrutura convergente de TI-OT — eles já o fazem. A questão é se as organizações do setor de energia vão abandonar os modelos de autenticação vulneráveis antes que o próximo incidente do tipo Oldsmar seja bem-sucedido.