Segurança cibernética para a indústria química e petroquímica: protegendo ICS/SCADA contra incidentes cyber-físicos

Por que a indústria química e petroquímica é um alvo de alto valor

Poucos setores concentram tanto risco em um único comando de controle quanto a química e a petroquímica. Uma refinaria, um cracker de etileno, uma unidade de cloro-soda ou uma planta de fertilizantes operam reações exotérmicas, gases inflamáveis, substâncias tóxicas e pressões elevadas que só permanecem dentro de envelopes seguros porque sistemas de controle industrial (ICS) — DCS, SCADA, PLCs e sistemas instrumentados de segurança (SIS) — mantêm temperatura, pressão, vazão e nível em faixas estreitas, segundo após segundo. Quando esses sistemas são manipulados por um adversário, a consequência não é uma planilha vazada: é a possibilidade de liberação tóxica, incêndio, explosão ou contaminação ambiental.

O que torna o setor especialmente atrativo para ameaças avançadas é a combinação de três fatores. Primeiro, o impacto: sabotar uma planta química pode causar dano físico real, paralisação de cadeias de suprimento inteiras e mortes — um nível de coerção que interessa a atores patrocinados por Estado. Segundo, a propriedade intelectual: receitas de catalisadores, parâmetros de processo, curvas de operação e know-how de engenharia valem fortunas e são alvo de espionagem industrial. Terceiro, a pressão por disponibilidade: parar uma planta petroquímica custa milhões por dia, o que torna a indústria especialmente vulnerável à extorsão por ransomware.

Historicamente, esses ambientes eram considerados seguros por isolamento (o famoso air gap). Esse pressuposto ruiu. Manutenção remota de fornecedores, dashboards de produção conectados ao ERP, engenheiros acessando o DCS de notebooks corporativos, pendrives circulando entre estações, e a própria modernização Indústria 4.0 criaram dezenas de pontes entre a rede corporativa e o chão de fábrica. Hoje, na prática, quase nenhuma planta tem um air gap verdadeiro — tem caminhos de acesso que a operação desconhece.

O modelo de ameaças: de phishing corporativo à sabotagem de processo

Entender quem ataca e como ajuda a priorizar a defesa. Na química e na petroquímica, quatro classes de ameaça dominam o modelo de risco, e elas frequentemente se encadeiam: um acesso inicial barato na TI vira um movimento lateral caro e perigoso na OT.

1. Sabotagem de processo via ICS/SCADA

O cenário mais grave. Um adversário que alcança a camada de supervisão e controle pode alterar setpoints, forçar saídas de PLC, manipular HMIs para enganar operadores (mostrando valores normais enquanto o processo deriva) ou tentar inibir intertravamentos. O caso emblemático na literatura de segurança industrial é o malware que tinha como alvo um sistema instrumentado de segurança em uma planta petroquímica — demonstrando que adversários sofisticados miram justamente a última camada de proteção contra acidentes. A defesa exige isolar e monitorar o SIS de forma independente do controle básico de processo (BPCS).

2. Ransomware com parada de planta

O grupo de ransomware raramente precisa tocar o PLC. Basta cifrar servidores de engenharia, históricos de processo (historians), estações de supervisão e o domínio Windows que sustenta a camada 2/3 do Purdue. Sem HMIs e sem históricos confiáveis, a operação é forçada a uma parada segura. Em uma planta de processo contínuo, uma parada não programada não é apenas perda de receita: partidas e paradas são os momentos de maior risco operacional, e cada ciclo desgasta equipamentos e consome margens.

3. Espionagem de propriedade intelectual de processo

Catalisadores proprietários, parâmetros de polimerização, curvas de craqueamento, formulações e otimizações de rendimento são o coração competitivo de uma empresa química. APTs e concorrentes patrocinados buscam exfiltrar esses dados de servidores de engenharia, sistemas PIMS/MES e e-mails de P&D. Diferente da sabotagem, a espionagem é silenciosa e pode durar meses sem deixar sinal óbvio — o que torna o threat hunting proativo essencial.

4. APT patrocinada por Estado em OT

Infraestrutura química e petroquímica é considerada infraestrutura crítica. Atores estatais desenvolvem capacidades específicas contra ICS — frameworks de ataque que entendem protocolos industriais e sabem manipular controladores. Esses adversários são pacientes, vivem da furtividade e pré-posicionam acessos para uso futuro. Contra eles, a detecção comportamental em OT e a caça a anomalias de protocolo industrial são mais relevantes do que assinaturas tradicionais.

A arquitetura de defesa: Modelo Purdue, zonas e condutos

A espinha dorsal da segurança industrial é arquitetural. O Modelo Purdue organiza o ambiente em níveis: do Nível 0 (sensores e atuadores no campo) e Nível 1 (controladores: PLCs, DCS, SIS), passando pelo Nível 2 (supervisão: SCADA, HMIs), Nível 3 (operações de manufatura: MES, historians, engenharia), até a DMZ industrial e os Níveis 4/5 (TI corporativa e empresa). A segurança nasce de controlar rigorosamente o que pode atravessar cada fronteira.

A norma de referência internacional para esse trabalho é a família IEC 62443, que estrutura a segurança em zonas e condutos: você agrupa ativos com requisitos de segurança semelhantes em zonas e define explicitamente os condutos (caminhos de comunicação permitidos) entre elas, cada um com controles e monitoramento próprios. A IEC 62443 também define níveis de segurança (SL) que permitem dimensionar a proteção ao risco de cada zona — o SIS e o controle de reator exigem o nível mais alto.

Um princípio não negociável em OT: o monitoramento deve ser passivo. Em TI, ferramentas varrem ativamente a rede; em OT, um scan agressivo pode travar um PLC antigo e parar a planta. A Decripte trabalha com captura passiva (TAP/SPAN), análise de tráfego industrial e baselining de comunicação — aprendendo o que é normal entre cada controlador e supervisório — para detectar desvios sem nunca perturbar o processo.

Red Team industrial: encontrar o caminho antes do adversário

Um teste de invasão de TI tradicional para numa planta química. Ele encontra a falha na borda corporativa, mas não entende o que está em jogo do outro lado do firewall industrial nem como um atacante real escalaria com segurança até o controle de processo. O Red Team industrial da Decripte é desenhado para esse contexto: simula a cadeia completa de um adversário sofisticado — do acesso inicial na TI ao alcance teórico da OT — com regras de engajamento que protegem a operação.

Como conduzimos sem colocar a planta em risco

A premissa é simples: jamais sacrificamos a segurança de processo para provar um ponto. O Red Team industrial opera com escopo acordado, janelas definidas, e uma linha vermelha clara — não emitimos comandos que alterem o estado físico do processo em ambiente produtivo. Validamos o alcance até a fronteira da OT, testamos a segmentação, demonstramos o movimento lateral possível, e — quando o cliente possui ambiente de testes, réplica de bancada ou janela de parada — exercitamos cenários de manipulação de controlador em condições seguras e controladas.

O valor do exercício não é a lista de falhas — é a narrativa de ataque encadeada que mostra à diretoria, em linguagem de risco de negócio e risco de processo, exatamente como um incidente físico poderia acontecer e onde investir para quebrar essa cadeia. Cada achado vira uma recomendação priorizada por impacto cyber-físico, não por CVSS isolado.

Detecção e SOC 24x7 para ambientes OT

Segmentar reduz o risco, mas não elimina a necessidade de enxergar o que acontece. A detecção em OT é diferente da TI: o tráfego é mais previsível (a comunicação entre um PLC e seu supervisório é repetitiva e determinística), o que é uma vantagem — desvios do baseline saltam aos olhos quando há monitoramento adequado. A Decripte implanta sensores passivos que entendem protocolos industriais (Modbus, DNP3, OPC UA, PROFINET, EtherNet/IP, S7) e correlacionam eventos de OT e TI num SOC unificado, operando 24 horas por dia, 7 dias por semana.

Threat hunting proativo complementa o monitoramento. Em vez de esperar o alarme, analistas caçam ativamente sinais de pré-posicionamento — o tipo de presença furtiva que APTs deixam ao se preparar. Em química, isso significa procurar por reconhecimento silencioso da rede OT, contas de serviço usadas de forma anômala e persistência em servidores de engenharia. Encontrar o adversário na fase de preparação é a diferença entre um relatório de incidente evitado e uma notificação de desastre.

Conformidade e gestão de risco cyber-físico

A segurança de uma planta química também é uma exigência de conformidade e de governança de risco. No Brasil, a LGPD se aplica aos dados pessoais que a empresa trata (colaboradores, terceiros, clientes corporativos), com a ANPD como autoridade fiscalizadora e o dever de comunicar incidentes que possam gerar risco ou dano relevante aos titulares. No mundo industrial, a referência técnica de segurança de automação é a família IEC 62443, e a gestão de segurança da informação se estrutura sob a ISO 27001. Empresas que processam dados de cartão em algum fluxo (e-commerce de produtos, por exemplo) também precisam observar o PCI-DSS.

O ponto central na química, porém, é integrar segurança cibernética com segurança de processo (process safety). Análises de risco como HAZOP e LOPA tradicionalmente assumiam falhas aleatórias de equipamento; hoje precisam considerar o cenário de causa cibernética — um intertravamento que não falha por acaso, mas porque foi inibido por um adversário. A Decripte estrutura a gestão de risco unindo as duas disciplinas, para que a análise de segurança de processo reconheça a ameaça digital como um vetor legítimo de iniciação de cenário.

Resposta a incidentes quando o digital encontra o físico

Responder a um incidente em planta química é uma decisão de engenharia tanto quanto de segurança. Em TI, isolar uma máquina infectada é quase sempre seguro. Em OT, desconectar abruptamente um controlador pode ser pior que o ataque — pode tirar visibilidade do operador ou interromper uma malha de controle no momento errado. Por isso a resposta a incidentes da Decripte em ambientes industriais é conduzida em conjunto com a operação de processo, com a premissa de que a parada segura, e não a continuidade a qualquer custo, é frequentemente a contenção correta.

A Decripte mantém SLA de contenção de até 1 hora e uma equipe de resposta que entende protocolos industriais e o impacto físico das ações de contenção. O objetivo é triplo: estancar o adversário, preservar a segurança das pessoas e do meio ambiente, e manter ou restaurar a observabilidade do processo para que decisões de operação sejam tomadas com dados confiáveis.

Comece pelo diagnóstico e evolua para proteção contínua

A jornada de segurança de uma planta química não começa com um contrato grande — começa com clareza sobre a exposição real. A Decripte adota um modelo 100% self-service: você inicia gratuitamente, entende seu risco e evolui para proteção contínua no seu ritmo.

Para um setor onde o pior caso é um incidente físico e ambiental, o custo de não enxergar a própria exposição é alto demais. O diagnóstico gratuito em decripte.io/free é o primeiro passo, sem compromisso, para transformar incerteza em um plano de ação priorizado por risco cyber-físico.

Cenário ilustrativo: acesso anômalo ao SCADA em uma petroquímica

Como a Decripte responde a incidentes em plantas químicas e petroquímicas

A resposta a incidentes em OT química equilibra três prioridades simultâneas: segurança das pessoas e do ambiente, contenção do adversário e preservação da observabilidade do processo. Toda ação é decidida junto à engenharia de processo, sob SLA de contenção de até 1 hora.

1. Detecção e triagem: o SOC 24x7 correlaciona sinais de TI e OT (phishing, movimento lateral, fluxo anômalo até o SCADA, comandos fora de janela) numa única narrativa de ataque, classificando o potencial impacto físico.
2. Acionamento conjunto: a equipe de resposta entra com a engenharia de processo na sala, definindo se a contenção segura é isolar segmentos, derrubar acessos ou conduzir uma parada segura — nunca criando risco físico maior que o do ataque.
3. Contenção (≤1h): isolamento de ativos comprometidos, segregação TI↔OT nos condutos da DMZ industrial e bloqueio do movimento lateral, sem emitir comandos que alterem o estado físico do processo em produção.
4. Erradicação: identificação e remoção do ponto de entrada, das credenciais comprometidas e da persistência; verificação independente do SIS para garantir que nenhum intertravamento de segurança foi manipulado.
5. Recuperação: restauração de HMIs, historians e estações de engenharia a partir de imagens validadas, reconexão controlada e reconstrução do baseline de comunicação OT antes de normalizar a produção.
6. Forense e atribuição: análise de causa-raiz, linha do tempo do ataque e indicadores de comprometimento, com avaliação de exfiltração de propriedade intelectual de processo e de dados pessoais.
7. Conformidade: suporte à decisão de notificação à ANPD e aos titulares quando o incidente envolve dados pessoais com risco relevante, conduzida em paralelo à contenção técnica.
8. Estruturação pós-incidente: Red Team industrial para validar a quebra da cadeia de ataque, reforço de segmentação Purdue e zonas/condutos IEC 62443, e detecção OT permanente sob SOC 24x7.

Como a Decripte estrutura a segurança da planta

Para a química e a petroquímica, a Decripte estrutura a segurança em pilares que partem do conhecimento do ambiente físico e digital e culminam em detecção e resposta contínuas, sempre respeitando a primazia da segurança de processo.

Planos recomendados para Química e Petroquímica

Perguntas frequentes

Termos do setor

ICS/SCADA

Sistemas de controle industrial (Industrial Control Systems) e o subconjunto de supervisão e aquisição de dados (SCADA) que monitora e comanda processos físicos como temperatura, pressão e vazão em uma planta química.

Modelo Purdue

Arquitetura de referência que organiza ambientes industriais em níveis hierárquicos — do campo (sensores e atuadores) ao controle, supervisão, operações e TI corporativa — usada para estruturar a segmentação de rede em OT.

IEC 62443

Família de normas internacionais para segurança de sistemas de automação e controle industrial, baseada no conceito de zonas e condutos e em níveis de segurança ajustados ao risco de cada parte do ambiente.

SIS (Sistema Instrumentado de Segurança)

Camada de controle independente cuja função é levar o processo a um estado seguro via intertravamentos, evitando acidentes como liberação tóxica, incêndio ou explosão — alvo crítico em ataques de sabotagem.

OT (Tecnologia Operacional)

Conjunto de hardware e software que monitora e controla processos físicos industriais (PLCs, DCS, SCADA, SIS), em contraste com a TI corporativa que trata de dados e aplicações de negócio.

HAZOP/LOPA

Técnicas de análise de risco de segurança de processo (Hazard and Operability Study e Layer of Protection Analysis) que, na química moderna, passam a considerar também causas cibernéticas para falhas de proteção.