Como tem vindo a ser noticiado, dezenas de supermercados na Bélgica, no Luxemburgo e na Suécia, bem como estabelecimentos na Irlanda, Estónia e nos Países Baixos, foram afetados no dia 2 de novembro por incidentes nos sistemas de refrigeração. Os atacantes tinham alterado remotamente as temperaturas de frigoríficos e congeladores.
O método usado foi semelhante ao que ocorreu a 12 de outubro, que atingiu centenas de lojas em França. No entanto, a empresa de cibersegurança ESET indicou que não há qualquer confirmação que os incidentes estejam ligados. Em Portugal, o Grupo Mosqueteiros também confirmou ocorrências em sete lojas Intermarché, associadas a um ataque informático que terá visado um prestador de serviços externo responsável pela gestão dos equipamentos de frio.
Uma tecnologia operacional que inclui sistemas que monitorizam ou controlam equipamentos e processos físicos, desde sistemas de refrigeração e climatização a linhas de produção, armazéns, edifícios ou operações logísticas está envolvida no processo. No caso de os equipamentos estarem conectados às redes empresariais e a admitir gestão remota, uma falha de segurança pode deixar de afetar apenas informação ou serviços digitais e interferir diretamente com a atividade da organização.
Quando o risco digital se transforma em risco operacional
A gestão remota dos sistemas permite acompanhar equipamentos e realizar operações de manutenção sem necessidade de presença física. No entanto, a mesma conectividade pode criar pontos de entrada para atacantes quando os painéis de gestão ficam acessíveis através da Internet, os equipamentos utilizam versões desatualizadas ou os acessos de técnicos e fornecedores não são devidamente controlados.
A segurança de ambientes industriais e de tecnologia operacional é uma área acompanhada pela ESET através da investigação de ameaças dirigidas a sistemas industriais e do desenvolvimento de soluções específicas para ambientes OT. Os longos ciclos de vida destes equipamentos e as limitações à aplicação de atualizações exigem abordagens diferentes das utilizadas nos sistemas informáticos convencionais.
“Os incidentes recentes mostram até que ponto a nossa dependência dos sistemas digitais pode afetar atividades do quotidiano, incluindo o acesso a bens essenciais. As empresas, independentemente da sua dimensão, devem identificar os sistemas indispensáveis ao seu funcionamento diário e assegurar que estão adequadamente protegidos. É igualmente importante preparar alternativas para situações de emergência, de modo a garantir a continuidade da atividade mesmo perante um incidente de cibersegurança”, afirmou Harm Teunis, Security Evangelist na ESET nos Países Baixos.
Para a ESET podem ser consideradas algumas medidas para reduzir a exposição dos sistemas OT, nomeadamente:
1.Conhecer os equipamentos e as dependências críticas. Identificar os sistemas OT utilizados pela organização, as suas funções, os responsáveis pela sua gestão e as versões em utilização. É igualmente importante perceber que processos podem ser afetados caso estes equipamentos fiquem indisponíveis.
2.Restringir o acesso remoto e alterar credenciais predefinidas. Os painéis de gestão destes equipamentos não devem estar diretamente acessíveis através da Internet. Quando a gestão à distância for necessária, o acesso deve ser limitado a utilizadores autorizados e protegido através de mecanismos como VPN, filtragem de endereços IP e autenticação multifator, sempre que os equipamentos o permitam. As palavras-passe predefinidas devem ser substituídas logo na instalação.
3.Manter os equipamentos atualizados e avaliar os que já não têm suporte. As organizações devem acompanhar as recomendações dos fabricantes e instalar as atualizações de segurança disponíveis. Quando estas já não possam ser aplicadas, devem ser consideradas medidas alternativas, como o isolamento dos equipamentos, a limitação dos acessos e uma monitorização reforçada.
4.Segmentar as redes e preparar planos de continuidade. A segmentação das redes de IT e ambientes OT pode ajudar a limitar a propagação de um incidente entre os diferentes ambientes. É igualmente importante definir antecipadamente como manter as operações críticas quando um sistema de controlo deixa de estar disponível, incluindo procedimentos alternativos que possam ser testados.
