Ransomware em OT: as primeiras 24 horas

Publicado em 13 de novembro de 2026 · Revisão técnica

Ransomware em OT não é “um problema de TI”. Quando o ataque atinge o chão de fábrica, a subestação ou o centro de controle, a prioridade muda: proteger pessoas, manter serviços essenciais e preservar evidências. As primeiras 24 horas definem grande parte do impacto.

1. Primeiras duas horas

1. Acione o plano: ative o CSIRT, o jurídico, a operação e a comunicação. Defina um único comandante do incidente.
2. Contenha sem destruir evidências: isole segmentos, bloqueie acessos remotos e desative contas comprometidas. Não formate máquinas nem “limpe” logs.
3. Proteja o que ainda funciona: priorize sistemas de segurança de processo, proteção elétrica e comunicações críticas.
4. Preserve evidências: colete imagens, logs, hashes, artefatos e linha do tempo. Mantenha cadeia de custódia.
5. Comunique internamente: operadores precisam saber o que não fazer; evite boatos e acessos não autorizados.

2. Próximas 24 horas

• Triagem forense: vetor inicial, propagação, Persistence, credenciais e impacto em fornecedores.
• Notificação: avalie CTIR Gov (órgãos federais, IN GSI/PR 7/2022), ANPD (dados pessoais), ANEEL/ONS e Polícia Federal.
• Comunicação institucional: mensagens aprovadas por jurídico e comunicação; não prometa prazos sem evidência.
• Recuperação: restore de backups imutáveis em ambiente isolado, validação antes de reconectar.
• Fornecedores: valide integridade de atualizações e acessos de terceiros.

3. O que não fazer

• Pagar o resgate sem avaliação jurídica e de sanções.
• Reconectar sistemas antes de validar integridade e credenciais.
• Apagar evidências para “voltar mais rápido”.
• Usar o mesmo canal comprometido para coordenar a resposta.
• Comunicar detalhes técnicos sem alinhamento com o jurídico.

4. Depois da crise

Encerrar o incidente não é restaurar o serviço. É entender a causa raiz, corrigir o vetor, revisar a segmentação, testar o plano e registrar lições aprendidas. Um exercício de mesa com operação, TI, jurídico e comunicação vale mais do que um documento guardado.

Guia relacionado: para prefeituras e órgãos públicos, veja o roteiro específico em Ransomware em órgão público: as primeiras 24 horas. Para apoio especializado, veja Resposta a incidentes OT.