Segurança para a Indústria de Papel e Celulose: protegendo processo contínuo, OT e exportação

Por que papel e celulose é um alvo de alto valor e alta consequência

A indústria de papel e celulose tem uma característica que a torna especialmente sensível a ataques cibernéticos: ela opera em processo contínuo. Diferente de uma linha de manufatura discreta, onde se monta uma peça por vez e uma parada significa perder produção daquele intervalo, a celulose mantém digestores, caldeiras de recuperação, evaporadores, caustificação e máquinas de secagem rodando de forma ininterrupta, muitas vezes por meses entre paradas programadas. Religar uma caldeira de recuperação ou um digestor contínuo depois de uma parada emergencial não é apertar um botão: é um procedimento de horas a dias, com riscos de segurança física, perda de produto em processo, danos a equipamentos e licor preto fora de especificação.

Essa realidade muda completamente o cálculo do atacante. Em um e-commerce, o criminoso de ransomware aposta que a empresa pagará para recuperar dados. Em uma planta de celulose, ele aposta em algo muito mais caro: a ameaça de parar a produção. Quando a operação física vale dezenas de milhares de reais por hora, a pressão para pagar o resgate aumenta exponencialmente, e o atacante sabe disso. Por isso, grupos de ransomware de dupla e tripla extorsão miram industriais de processo contínuo com prioridade, sabendo que a janela de tolerância da vítima é curta.

Há ainda um agravante específico do setor: a integração vertical. Muitas operações de celulose controlam desde a floresta até o porto. Isso significa que a superfície de ataque vai além do parque fabril, incluindo sistemas florestais, balanças rodoviárias e ferroviárias, gestão de pátio de madeira, geração de energia a partir de biomassa e licor preto, e toda a cadeia logística de exportação. Cada um desses elos conectados é uma porta potencial.

As quatro ameaças que mais atingem a celulose

1. Ransomware com parada de processo contínuo

É o cenário de maior impacto. O ransomware raramente nasce na OT; ele começa na TI corporativa, por phishing, credencial vazada ou exploração de um serviço exposto, e se propaga lateralmente. O problema surge quando a rede de controle não está adequadamente segmentada da rede corporativa. Nesse caso, o malware alcança o nível de supervisão (estações de operação do SDCD, servidores SCADA, históricos), e a equipe de operação perde visibilidade e controle. Mesmo que o malware não cifre os CLPs em si, perder as estações de supervisão pode forçar uma parada emergencial por segurança, porque operar uma caldeira de recuperação às cegas é inaceitável.

2. Sabotagem de OT em caldeira e digestor

Mais raro, porém mais perigoso, é o ataque deliberado a parâmetros de processo. Um adversário com conhecimento de automação industrial e acesso à rede de controle poderia manipular setpoints, intertravamentos ou lógicas de CLP de uma caldeira de recuperação, evaporador ou digestor. Em equipamentos que lidam com licor preto a alta temperatura e pressão, manipular intertravamentos de segurança não é apenas risco de produção: é risco de explosão e de vida. Esse é o motivo pelo qual a segurança de OT na celulose se cruza diretamente com a segurança de processo (process safety).

3. Espionagem de processo

O know-how de uma planta de celulose, suas curvas de cozimento, receitas de branqueamento, parâmetros de eficiência energética e otimização de consumo de químicos, é propriedade intelectual valiosa. Concorrentes ou atores estatais podem buscar esses dados via acesso persistente aos históricos de processo e sistemas de engenharia. É um ataque silencioso, sem cifragem nem extorsão, voltado a exfiltrar parametrização e dados de produção ao longo de meses.

4. BEC na exportação

A celulose brasileira é fortemente exportadora. Isso cria um fluxo financeiro internacional, com pagamentos em moeda estrangeira, intermediação de tradings, armadores e agentes portuários. O Business Email Compromise (BEC) ataca exatamente esse elo: o criminoso compromete ou falsifica e-mails para desviar pagamentos de exportação, alterar dados bancários de fornecedores de químicos ou logística, ou redirecionar fundos de câmbio. É fraude que não passa por nenhum firewall industrial e exige controles de processo financeiro.

Segmentação OT/ICS: o controle de maior impacto

Se houvesse um único investimento a priorizar em segurança industrial de celulose, seria a segmentação de rede entre TI e OT, e dentro da própria OT. O conceito orientador é o modelo de referência Purdue, que organiza a planta em níveis: do nível de processo físico e instrumentação (nível 0), passando pelos controladores (nível 1), supervisão e SCADA (nível 2), operações de manufatura e MES (nível 3), até a TI corporativa e o ERP (nível 4/5). Entre os níveis 3 e 4 deve existir uma zona desmilitarizada industrial (IDMZ), que faz a mediação controlada de qualquer tráfego que precise cruzar da TI para a OT.

A norma internacional IEC 62443 formaliza isso no conceito de zonas e conduítes: agrupar ativos com requisitos de segurança semelhantes em zonas e permitir comunicação entre zonas apenas por conduítes explicitamente definidos, monitorados e controlados. A Decripte aplica esse modelo de forma pragmática à realidade de cada planta, porque na prática quase nenhuma instalação está perfeitamente conforme ao Purdue: há atalhos históricos, conexões diretas esquecidas e fornecedores com acesso lateral. O trabalho começa por descobrir a topologia real, não a do diagrama.

Na celulose, a segmentação tem nuances próprias. A geração de energia (caldeira de biomassa, turbogeradores) costuma ter seu próprio SDCD e às vezes uma rede que se comunica com a concessionária. A área de recuperação química (caldeira de recuperação, caustificação, forno de cal) é a mais crítica em termos de segurança de processo. A linha de produção (digestor, branqueamento, máquina de papel) tem alta densidade de instrumentação. Cada uma dessas merece ser uma zona, com conduítes claros entre si e com a supervisão central.

Monitoramento industrial passivo: enxergar sem interferir

Depois de segmentar, é preciso ver. O grande desafio do monitoramento de OT é que as ferramentas tradicionais de TI são inadequadas e até perigosas no chão de fábrica. Um scanner de vulnerabilidade ativo, que envia pacotes para descobrir e testar serviços, pode travar um CLP antigo que não foi projetado para receber tráfego inesperado. Por isso a Decripte adota monitoramento passivo: sensores conectados a portas espelhadas (SPAN) ou a derivações de rede (TAP) que apenas escutam o tráfego, sem nunca injetar pacotes na rede de controle.

Esse monitoramento passivo faz três coisas valiosas. Primeiro, constrói automaticamente o inventário de ativos OT: descobre cada CLP, IHM, gateway, estação de engenharia e instrumento que conversa na rede, identifica fabricante, modelo, firmware e protocolo. A maioria das plantas descobre nesse momento ativos que ninguém lembrava existirem. Segundo, aprende o padrão normal de comunicação, quais dispositivos falam com quais, em quais protocolos (Modbus, EtherNet/IP, PROFINET, OPC), com qual frequência. Terceiro, detecta anomalias: um novo dispositivo na rede, uma estação de engenharia tentando reprogramar um CLP fora de janela, um comando de escrita inesperado para um intertravamento de segurança.

O sinal desses sensores flui para o SOC 24x7 da Decripte, onde analistas com playbooks de OT correlacionam eventos de chão de fábrica com o que acontece na TI. Um login suspeito na rede corporativa às 3h da manhã ganha um significado completamente diferente quando, minutos depois, surge uma tentativa de acesso à IDMZ. É essa correlação TI e OT, monitorada por humanos treinados, que transforma dados em detecção real.

SOC 24x7 com playbooks de OT: vigilância que entende processo

Uma planta de celulose nunca para, então a vigilância de segurança também não pode parar. O SOC (Security Operations Center) 24x7 da Decripte monitora simultaneamente a TI corporativa e a telemetria de OT, com analistas que entendem a diferença entre um falso positivo de manutenção programada e o início real de um ataque. Essa distinção é vital: na OT, um alerta tratado como TI tradicional pode levar a uma ação de contenção, como derrubar um segmento de rede, que provoca exatamente a parada que se queria evitar.

Os playbooks de OT da Decripte são construídos sobre frameworks reconhecidos, como o MITRE ATT&CK for ICS, que cataloga as táticas e técnicas específicas usadas por adversários contra sistemas de controle industrial. Em vez de tratar a planta como se fosse um data center, os analistas raciocinam em termos de impacto de processo: este alerta pode levar a uma manipulação de setpoint? Esta comunicação anômala indica reconhecimento de um adversário mapeando os CLPs? Esta tentativa de acesso remoto de fornecedor é legítima ou é uma credencial sequestrada?

Conformidade e risco cyber-físico

Segurança industrial de celulose não vive só de tecnologia; vive de governança e conformidade. No Brasil, a LGPD (Lei Geral de Proteção de Dados) se aplica aos dados pessoais de colaboradores, prestadores e da cadeia logística, com fiscalização da ANPD (Autoridade Nacional de Proteção de Dados), incluindo a obrigação de comunicar incidentes de segurança que possam acarretar risco ou dano relevante aos titulares. Um ransomware que exfiltra dados pessoais antes de cifrar dispara obrigações de notificação que precisam ser tratadas com método.

No plano da segurança industrial, a referência internacional é a família IEC 62443, que estabelece requisitos de segurança para sistemas de automação e controle industrial ao longo de todo o ciclo de vida, do projeto à operação. Para a gestão de segurança da informação como um todo, a ISO/IEC 27001 fornece o arcabouço de sistema de gestão. A Decripte ajuda a planta a estruturar sua conformidade de forma que controles técnicos e governança se reforcem, em vez de gerar papelada desconectada da realidade do chão de fábrica.

Esse enquadramento cyber-físico também orienta a priorização. Nem todo ativo OT tem o mesmo peso: um CLP que controla a abertura de uma válvula em uma área de químicos perigosos não pode ser tratado com a mesma criticidade de um sensor de nível de um tanque de água de reuso. A Decripte conduz a avaliação de criticidade por consequência de processo, garantindo que os recursos de proteção e monitoramento se concentrem onde uma falha teria impacto físico e de segurança maior.

Gestão de vulnerabilidades em ambiente industrial

Plantas industriais não podem ser tratadas como ambientes de TI quando o assunto é correção de vulnerabilidades. Aplicar um patch em um servidor corporativo é rotina; aplicar firmware em um CLP que controla um digestor pode exigir parada de processo e revalidação de segurança. Por isso a gestão de vulnerabilidades de OT é, antes de tudo, gestão de risco: identificar o que está vulnerável, entender se é explorável no contexto real, e decidir entre corrigir, mitigar por compensação ou aceitar com monitoramento reforçado.

A Decripte parte do inventário gerado pelo monitoramento passivo para cruzar firmwares e modelos com bases de vulnerabilidades conhecidas, sem nunca rodar scanners ativos contra a rede de controle. O resultado é uma lista priorizada não por severidade genérica, mas por exploração realista e consequência de processo. Uma vulnerabilidade crítica em um ativo isolado em uma zona sem acesso externo pode ser menos urgente que uma vulnerabilidade média em um gateway que faz a ponte com a TI.

Para a TI corporativa e os ativos expostos à internet, a Decripte aplica gestão de vulnerabilidades contínua de fato, porque é por ali que o ataque normalmente começa. O diagnóstico gratuito de Gestão de Ameaças em decripte.io/free já mapeia parte dessa superfície externa, revelando serviços expostos, credenciais vazadas e pontos fracos visíveis de fora, antes mesmo de qualquer contrato.

Protegendo a cadeia de exportação contra BEC

O elo financeiro da celulose merece atenção própria. A exportação envolve um ecossistema de contrapartes: tradings, armadores, agentes portuários, despachantes, bancos correspondentes e fornecedores internacionais de químicos e equipamentos. O Business Email Compromise explora a confiança nesse fluxo. O golpe clássico: o criminoso compromete ou imita o e-mail de um fornecedor ou cliente e, no momento de um pagamento legítimo, informa novos dados bancários. O valor segue para a conta do golpista.

A defesa contra BEC é parte técnica, parte processo. No lado técnico, a Decripte fortalece a autenticação de e-mail com SPF, DKIM e DMARC, dificultando a falsificação de domínio, e o SOC monitora padrões de phishing direcionado contra a área financeira e de comércio exterior. No lado de processo, o controle decisivo é a verificação fora de banda: qualquer mudança de dados bancários de uma contraparte deve ser confirmada por um canal independente (uma ligação a um número já conhecido, não o do e-mail), com dupla aprovação para liberações acima de um limite.

Cenário ilustrativo: ransomware ameaça o processo contínuo de uma planta de celulose

Como a Decripte responde a um incidente em planta de celulose

A resposta a incidentes em processo contínuo segue um princípio inegociável: conter o ataque sem causar a parada. Cada passo é desenhado para cortar a propagação preservando a operação física da caldeira e do digestor.

1. Acionamento e triagem imediata: o SOC 24x7 classifica o incidente e o time de Resposta a Incidentes entra em ação, com meta de contenção em até 1 hora, mobilizando especialistas de TI e de OT simultaneamente.
2. Contenção sem parada: isolamento dos segmentos de TI comprometidos e corte dos conduítes TI para OT na IDMZ, preservando a rede de controle e a supervisão local para que a planta continue operando com segurança.
3. Preservação forense: coleta de evidências (memória, logs, imagens) antes de qualquer limpeza, garantindo cadeia de custódia para investigação, eventual reporte e aprendizado.
4. Erradicação dirigida: identificação do vetor inicial, remoção dos artefatos maliciosos, revogação e rotação de credenciais, fechamento de acessos remotos inseguros e de conexões diretas indevidas entre TI e OT.
5. Recuperação controlada: reconstrução de sistemas a partir de imagens e backups limpos e testados, com revalidação da supervisão de processo antes de reconectar à TI pela IDMZ endurecida.
6. Análise de exfiltração e conformidade: verificação de vazamento de dados pessoais e apoio às obrigações da LGPD perante a ANPD quando houver risco relevante aos titulares.
7. Relatório executivo e técnico: documentação completa com linha do tempo, indicadores de comprometimento, causa raiz e recomendações priorizadas por consequência de processo.
8. Transição para estruturação: as lacunas que permitiram o incidente viram um plano de hardening permanente, com segmentação, monitoramento e SOC contínuo.

Como a Decripte estrutura a segurança de uma indústria de papel e celulose

Estruturar segurança industrial é construir camadas que se reforçam, do projeto de rede à vigilância contínua, sempre respeitando a prioridade de disponibilidade do processo contínuo. A Decripte trabalha em pilares que evoluem a maturidade da planta sem interromper a operação.

Planos recomendados para Papel e Celulose

Perguntas frequentes

Termos do setor

OT/ICS

Tecnologia Operacional / Sistemas de Controle Industrial. O conjunto de hardware e software que monitora e controla o processo físico da planta: CLPs, SDCD/DCS, SCADA, IHMs e instrumentação. Diferente da TI, sua prioridade é disponibilidade e segurança de processo.

Modelo Purdue

Modelo de referência de arquitetura que organiza a rede industrial em níveis hierárquicos, do processo físico (nível 0) até a TI corporativa (níveis 4/5), com uma zona desmilitarizada industrial (IDMZ) mediando o tráfego entre TI e OT.

IEC 62443

Família de normas internacionais de segurança para sistemas de automação e controle industrial, que define conceitos como zonas e conduítes e requisitos de segurança ao longo de todo o ciclo de vida do sistema.

Caldeira de recuperação

Equipamento central da fábrica de celulose kraft que queima o licor preto concentrado para recuperar produtos químicos do cozimento e gerar vapor. Opera a alta temperatura e pressão, tornando sua segurança de processo crítica.

BEC (Business Email Compromise)

Fraude em que o criminoso compromete ou imita e-mails corporativos para desviar pagamentos, comum na cadeia financeira de exportação, alterando dados bancários de contrapartes ou redirecionando fundos de câmbio.

Monitoramento passivo

Técnica de visibilidade de OT em que sensores apenas escutam o tráfego de rede em modo espelhado (SPAN/TAP), sem injetar pacotes, evitando o risco de perturbar equipamentos industriais legados que não toleram tráfego inesperado.