O novo relatório do Team82, equipe de pesquisa da Claroty, intitulado “Analisando as Tendências de Ataques a CPS” (Analyzing CPS Attack Trends), mostra que 82% dos ataques contra sistemas ciberfísicos (CPS) envolvem o uso do protocolo Virtual Network Computing (VNC) de clientes para acessar remotamente ativos expostos e conectados à internet. O estudo analisou mais de 200 ataques realizados por mais de 20 grupos de agentes de ameaça contra CPS em diversos setores ao longo de um ano.
CONTEÚDO RELACIONADO: Vagas falsas distribuem malware: nova campanha norte-coreana mira devs
A pesquisa mostra que houve comprometimento de interfaces homem-máquina (HMI) ou de sistemas SCADA (Supervisory Control and Data Acquisition) em 66% dos incidentes. Ambas as classes de dispositivos supervisionam processos industriais em tempo real, sejam em fábricas ou utilities. Qualquer acesso ilícito ou manipulação pode ter consequências extremamente graves para as organizações e os serviços que prestam.
O Team 82 destaca que muitos desses ataques também são relativamente simples do ponto de vista técnico, não exigindo a exploração de vulnerabilidades específicas nem conhecimento aprofundado dos dispositivos ou protocolos utilizados.
Ataques tem contexto político
Os dados revelaram que os ataques desses grupos direcionados a sistemas ciberfísicos (CPS) foram, em grande parte, motivados por objetivos políticos ou sociais, alinhados às motivações conhecidas de agentes apoiados por governos. Diante das tensões geopolíticas em 2025 no Oriente Médio e da guerra entre Rússia e Ucrânia, que já dura quatro anos, a Team82 da Claroty atribuiu muitos desses incidentes a agentes de ameaça ligados à Rússia e ao Irã. Entre as principais conclusões, destacam-se:
- 81% dos incidentes conduzidos por grupos ligados ao Irã tiveram como alvo organizações nos Estados Unidos e em Israel.
- 71% dos incidentes conduzidos por grupos ligados à Rússia tiveram como alvo organizações em países da União Europeia (UE).
- Entre os países da UE mais visados por grupos ligados à Rússia, destacam-se Itália (18%), França (11%) e Espanha (9%).
Como se defender
As organizações responsáveis por ambientes de sistemas ciberfísicos (CPS) podem adotar diversas medidas para fortalecer suas defesas:
- Proteger dispositivos expostos à internet: verifique as configurações de tecnologia operacional (OT), de dispositivos inteligentes conectados e de dispositivos da Internet das Coisas Médicas (IoMT), garantindo que existam medidas adequadas para impedir a enumeração e identificação desses dispositivos, já que eles estão cada vez mais conectados à internet.
- Corrigir configurações inseguras por design ou padrão: os responsáveis pela defesa devem estar atentos a credenciais padrão ou conhecidamente fracas e alterá-las de forma proativa à medida que os dispositivos são colocados em operação no ambiente online. Também é fundamental avaliar e compreender outras configurações inseguras, garantindo que quaisquer problemas de segurança sejam corrigidos antes que os dispositivos sejam conectados à internet.
- Atualizar protocolos inseguros: como muitos dos ataques analisados pelo Team82 da Claroty envolveram o uso de protocolos inseguros por design, como VNC e Modbus, que não contam com recursos básicos de segurança, como autenticação e criptografia, os responsáveis pela segurança devem mapear seus ativos conectados mais críticos e migrar para protocolos de comunicação mais seguros.
- Conheça o adversário: é importante compreender as motivações e táticas dos grupos de hackers — especialmente hacktivistas, no caso desta pesquisa — para identificar possíveis próximos alvos dentro de um determinado setor, ou avaliar se ativos de sistemas ciberfísicos (CPS) podem estar expostos de forma semelhante à de outras organizações que já foram comprometidas.
Metodologia
Para oferecer uma visão abrangente da evolução do cenário de ameaças relacionadas a ataques oportunistas (drive-by) no domínio de sistemas ciberfísicos (CPS), o Team82 da Claroty empregou uma metodologia de pesquisa em múltiplas camadas. Diferentemente de campanhas altamente direcionadas e personalizadas, esses incidentes do tipo drive-by são caracterizados por agentes oportunistas que varrem a internet em busca de ativos expostos, com o objetivo de amplificar uma mensagem política ou causa social. Esse processo de pesquisa foi projetado para filtrar o “ruído” do cibercrime geral e focar especificamente em incidentes verificados que tiveram como alvo sistemas ciberfísicos (CPS).
A pesquisa foi conduzida ao longo de 12 meses — de janeiro a dezembro de 2025 — e seguiu um processo em quatro etapas: mapeamento de fontes, monitoramento contínuo, verificação e análise dos ataques. Para mais detalhes sobre a metodologia e as limitações da pesquisa, consulte o relatório.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn e X.
