Eletrobrás relata ataque à Eletronuclear, mas descarta risco às usinas
Em nota, empresa diz que não há riscos a Angra 1 e Angra 2 já que a rede administrativa não está conectada com os sistemas das usinas
A Eletrobras emitiu comunicado na manhã desta quinta-feira, 4, para informar seus acionistas e o mercado em geral que sua subsidiária responsável pelas usinas nucleares do complexo de Angra dos Reis, a Eletronuclear, foi alvo de ataque cibernético. A empresa ressalta que o ataque, no entanto, não teve nenhum impacto sobre a operação das unidades ou riscos à segurança.
A nota informa que o incidente no ambiente da tecnologia da informação foi causado por um ataque de ransomware que alcançou parte dos servidores da rede administrativa. A Eletrobras ressalta que a rede administrativa não se conecta com os sistemas operativos das usinas nucleares de Angra 1 e Angra 2 que são, por razões de segurança, isolados da rede administrativa. “O incidente, portanto, não trouxe impactos para a segurança, nem para o funcionamento da Central Nuclear Almirante Álvaro Alberto, muito menos prejuízos para o fornecimento da energia elétrica ao Sistema Interligado Nacional”, diz o comunicado.
Segundo a empresa, a Eletronuclear suspendeu temporariamente o funcionamento de alguns dos seus sistemas administrativos para proteger a integridade dos seus dados. A própria equipe da Eletronuclear, em conjunto com a equipe do Serviço Gerenciado de Segurança (MSS) contiveram e erradicaram os efeitos do ataque e, assim, o vírus foi isolado e uma minuciosa verificação dos ativos segue em andamento, afirma o comunicado.
A Eletrobras diz que a Eletronuclear já informou o evento ao Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR.Gov), com cópia para representante do Sistema de Proteção ao Programa Nuclear Brasileiro (SIPRON), subordinado ao Gabinete de Segurança Institucional da Presidência da República.
O especialista em segurança cibernética Marcelo Branquinho, CEO da TI Safe, ressalta, porém, que a segregação da rede operativa não é garantia 100% de que não venha ser invadida em algum momento. “Embora os PLCs [controladores lógicos programáveis] das usinas estejam protegidos pelo fato de a rede operativa estar isolada, se a segurança de borda não for bem feita, há, sim, o risco de uma invasão, o que pode causar até mesmo um blecaute nas regiões atendidas pelas usinas”, explica.
Branquinho observa que a cibersegurança das empresas brasileiras de energia é bastante falha, tanto que o ONS (Operador Nacional do Sistema) assumiu o desafio de conduzir uma iniciativa que tem como objetivo propor critérios e requisitos mínimos de segurança cibernética para a operação do Sistema Interligado Nacional (SIN).
O ONS submeteu à Aneel uma proposta de Procedimento de Rede, elaborada de forma colaborativa com os agentes, para tratar do tema. “Isso vai ser crucial para a melhoria da segurança cibernética das empresas de energia. Hoje, para ser ter uma ideia, mesmo os sistemas de backup dessas companhias são bastante incipientes”, finaliza o especialista da TI Safe.