Cibersegurança em Energia e Óleo e Gás: os Riscos para Ambientes OT

A digitalização das operações de energia e óleo e gás ampliou a conectividade entre sistemas, ativos remotos, fornecedores e ambientes corporativos. Essa evolução traz ganhos importantes para a operação, mas também aumenta a superfície que precisa ser protegida.

Em 2026, o cenário vai além da possibilidade de um ataque atingir uma rede industrial. Adversários estão demonstrando maior conhecimento sobre os próprios processos físicos que sustentam infraestruturas críticas.

O Dragos 2026 OT/ICS Cybersecurity Report identificou três novos grupos de ameaças direcionados a infraestruturas críticas e apontou adversários avançando do reconhecimento para atividades de mapeamento de sistemas de controle e processos industriais.

Para organizações de energia e óleo e gás, essa evolução é especialmente relevante. Uma interrupção pode afetar produção, distribuição, transporte, disponibilidade de serviços e, dependendo do processo, segurança operacional.

Óleo e Gás Enfrenta Desafios Específicos de Segurança OT

Operações de óleo e gás possuem características que tornam a proteção cibernética particularmente complexa.

Pipelines podem atravessar grandes distâncias, ativos de upstream e midstream podem estar localizados em regiões remotas e refinarias operam continuamente, com baixa tolerância a paradas não planejadas. Além disso, fornecedores e prestadores de serviços frequentemente precisam acessar sistemas remotamente.

Dados divulgados em 2026 mostram que adversários estão explorando justamente essas características.

Segundo a Dragos, o grupo VOLTZITE comprometeu cellular gateways em operações midstream nos Estados Unidos e avançou para engineering workstations, obtendo arquivos de configuração e dados de alarmes. Outro grupo acompanhado pela empresa, AZURITE, também direcionou atividades a estações de engenharia do setor para coletar informações sobre processos, configurações e credenciais.

O objetivo nem sempre é provocar uma interrupção imediata. O conhecimento adquirido sobre uma operação pode ajudar um adversário a compreender como o processo funciona, quais sistemas são críticos e onde uma ação poderia produzir impacto operacional.

Ransomware Continua Pressionando o Setor

O ransomware permanece como uma ameaça relevante para organizações industriais justamente porque esses ambientes possuem baixa tolerância à indisponibilidade.

No primeiro trimestre de 2026, a Dragos identificou 39 incidentes de ransomware envolvendo organizações de óleo e gás, considerando operações upstream, midstream e downstream e empresas que prestam serviços ao setor. Também foram observados incidentes envolvendo utilities elétricas e organizações de energia renovável.

A atividade continuou no segundo trimestre: foram registrados 45 casos envolvendo óleo e gás, 8 envolvendo utilities elétricas e 12 relacionados a organizações de energia renovável.

Esses números não significam necessariamente que o ransomware esteja manipulando diretamente controladores industriais.

Esse é um ponto importante.

Um ataque pode comprometer sistemas que sustentam a operação, como estações de engenharia, servidores, sistemas de supervisão, históricos ou infraestrutura virtualizada, provocando perda de visibilidade ou indisponibilidade mesmo sem utilizar técnicas específicas contra protocolos industriais.

Por isso, classificar determinados incidentes simplesmente como problemas de TI pode esconder seu verdadeiro impacto sobre OT.

Visibilidade Continua Sendo um Desafio

Outro ponto crítico para o setor é saber exatamente o que existe e o que acontece dentro do ambiente operacional.

Em óleo e gás, por exemplo, a Dragos identificou lacunas relacionadas à proteção e detecção de malware em 37% dos achados de 2025. Problemas relacionados à gestão de vulnerabilidades apareceram em 31%, enquanto deficiências na segmentação entre TI e OT apareceram em 29% dos achados do setor.

Isso reforça que segurança OT não começa apenas pela implementação de novas ferramentas.

É necessário conhecer os ativos, entender como eles se comunicam, identificar acessos externos e estabelecer comportamentos esperados para conseguir reconhecer uma anomalia antes que ela produza consequências para a operação.

Em ambientes distribuídos, essa necessidade se torna ainda maior. Um equipamento remoto, uma conexão de fornecedor ou um acesso que não está adequadamente controlado pode representar um ponto de exposição importante.

Acesso Remoto e Segmentação Precisam de Atenção

A crescente conectividade entre ambientes também torna o controle dos caminhos de acesso uma prioridade.

Em orientação conjunta publicada em 2025, CISA, FBI, EPA e Departamento de Energia dos Estados Unidos alertaram organizações de infraestrutura crítica sobre atividades direcionadas especificamente a equipamentos OT e ICS conectados à internet. Entre as recomendações estão remover conexões OT desnecessárias com a internet, proteger acessos remotos e fortalecer controles de autenticação.

Para operações de energia e óleo e gás, isso significa compreender não apenas a separação entre TI e OT, mas também quem pode acessar o ambiente, por qual caminho, com quais privilégios e por quanto tempo.

Uma arquitetura segmentada reduz a possibilidade de movimentação entre diferentes partes da infraestrutura e ajuda a limitar o impacto caso algum ativo seja comprometido.

Gestão de Vulnerabilidades Precisa Considerar a Operação

Outro desafio importante é lidar com vulnerabilidades sem introduzir novos riscos.

Ambientes OT podem possuir sistemas legados, equipamentos com ciclos de vida longos e tecnologias que dependem de processos específicos de homologação e manutenção.

Em óleo e gás, a própria Dragos destaca que a aplicação de patches é limitada por requisitos de continuidade operacional, processos de qualificação de fornecedores e pela existência de ativos distribuídos geograficamente.

Por isso, simplesmente manter “todos os sistemas sempre atualizados” não é uma estratégia adequada.

A gestão precisa considerar criticidade do ativo, exposição, evidências de exploração, impacto operacional, disponibilidade de correções e existência de controles compensatórios. Quando um patch for necessário, sua implementação deve considerar testes, compatibilidade e janelas adequadas de manutenção.

Segurança OT no Contexto Brasileiro

No Brasil, a segurança cibernética de infraestruturas críticas também ganhou espaço nas estruturas de governança do setor elétrico.

O Operador Nacional do Sistema Elétrico (ONS) mantém a RO-CB.BR.01, rotina que estabelece controles mínimos de segurança cibernética para o Ambiente Regulado Cibernético e abrange centros de operação e equipamentos relacionados à infraestrutura operacional.

A rotina entrou em vigor originalmente em julho de 2021 e representou um marco na formalização de requisitos de segurança cibernética para os agentes do setor elétrico brasileiro.

Mais do que uma questão de conformidade, essa evolução reforça que cibersegurança precisa fazer parte da estratégia de continuidade e resiliência das operações essenciais.

Da Proteção Cibernética à Resiliência Operacional

O cenário de 2026 mostra que organizações de energia e óleo e gás precisam ir além de uma abordagem baseada apenas em ferramentas.

Uma estratégia de segurança OT precisa combinar visibilidade dos ativos e comunicações, segmentação entre ambientes, gestão segura de acessos remotos, monitoramento adequado a OT, gestão de vulnerabilidades baseada em risco e planos de resposta a incidentes construídos considerando as características reais da operação.

Isso também exige aproximação entre Segurança, TI, Engenharia e Operações.

O objetivo não é somente impedir que um incidente aconteça. É aumentar a capacidade da organização de identificar atividades anômalas, responder rapidamente e manter ou recuperar processos críticos com segurança.

É nessa perspectiva que a Cyrex Security atua na proteção de ambientes OT e infraestruturas críticas, conectando conhecimento da operação, visibilidade e gestão de riscos para fortalecer a resiliência cibernética.