NotPetya e Maersk: lições para a resiliência

Quando uma interrupção digital paralisa uma operação global

Em junho de 2017, a A.P. Møller-Maersk esteve entre as organizações impactadas pelo NotPetya, malware destrutivo que se apresentava como ransomware. O incidente ganhou proporção global e evidenciou como a indisponibilidade de sistemas pode atingir diretamente cadeias logísticas, operações portuárias, clientes e fluxos financeiros.

Segundo reportagem da Wired, o NotPetya se disseminou a partir de um software de contabilidade ucraniano comprometido, alcançando redes corporativas em diversos países. A publicação descreveu o episódio como um ataque de alcance excepcional, com danos que ultrapassaram organizações diretamente conectadas ao contexto inicial.

A Maersk divulgou que precisou reinstalar cerca de 45 mil computadores, 4 mil servidores e 2.500 aplicações em aproximadamente dez dias. A informação foi reportada pela BleepingComputer, enquanto a empresa estimou perdas entre US$ 250 milhões e US$ 300 milhões. Terminais operados pela companhia em vários países também registraram interrupções.

Os detalhes técnicos internos do incidente não são públicos em nível suficiente para determinar quais controles funcionaram, quais falharam ou como cada ambiente foi afetado. Ainda assim, o caso oferece uma lição objetiva para qualquer decisor: a capacidade de restaurar operações sob pressão precisa ser planejada antes de uma crise, testada regularmente e alinhada ao impacto financeiro da indisponibilidade.

Quais vetores costumam ampliar incidentes destrutivos?

Embora os detalhes internos do incidente não sejam públicos, ataques como este geralmente exploram vetores como cadeias de suprimentos digitais comprometidas, vulnerabilidades não corrigidas e falta de segmentação de rede. Esses vetores merecem atenção porque transformam um ponto inicial de comprometimento em uma interrupção de grande escala.

Cadeia de suprimentos digital comprometida. Um fornecedor de software, uma atualização legítima ou uma integração amplamente utilizada pode se tornar um canal de distribuição para código malicioso. Na prática, a empresa pode receber um arquivo aparentemente confiável por meio de uma aplicação já aprovada pelo negócio. Por isso, a gestão de risco de terceiros precisa mapear softwares críticos, privilégios concedidos a fornecedores e processos de validação para atualizações.

Vulnerabilidades não corrigidas. Patches atrasados criam oportunidades para que códigos automatizados encontrem servidores, estações de trabalho ou serviços expostos com falhas conhecidas. Um inventário incompleto dificulta saber quais ativos exigem correção prioritária. Para o decisor, a pergunta relevante é simples: a empresa consegue comprovar quais sistemas estão atualizados, quais possuem exceções e qual é o risco operacional de cada pendência?

Falta de segmentação de rede. Quando ambientes administrativos, operacionais, servidores e dispositivos de usuários compartilham acesso excessivo, um incidente inicial pode se propagar com maior velocidade. Segmentação de rede limita a comunicação entre zonas conforme a necessidade do negócio. Esse controle reduz a superfície de movimento lateral e preserva áreas críticas quando uma parte do ambiente precisa ser isolada.

O que pode ser feito para proteger sua estrutura?

Proteção em camadas combina prevenção, detecção, contenção e recuperação. Nenhuma camada isolada elimina todos os riscos, mas uma arquitetura bem definida reduz a probabilidade de propagação e aumenta a previsibilidade da retomada. O objetivo é sustentar a continuidade do negócio mesmo diante de um incidente que comprometa parte do ambiente.

Detecção e contenção nos endpoints. EDR, sigla para Endpoint Detection and Response, é uma capacidade de detecção e resposta em terminais que identifica comportamentos suspeitos em computadores e servidores. Somado ao monitoramento proativo contínuo com alertas inteligentes, o EDR ajuda a investigar atividades anômalas, isolar ativos afetados e reduzir o tempo entre o sinal de risco e a ação técnica. Uma estratégia de cibersegurança gerenciada organiza essas capacidades em processos recorrentes de visibilidade e priorização.

Recuperação independente do ambiente afetado. Backup isolado, criptografado e testado regularmente reduz a dependência de cópias conectadas à mesma rede da operação. A recuperação precisa considerar aplicações, configurações, identidades e dados, não apenas arquivos. Uma estrutura de backup e recuperação de desastres deve estabelecer objetivos de ponto de recuperação, que definem quanto dado pode ser perdido, e objetivos de tempo de recuperação, que definem quando serviços prioritários precisam voltar.

Redução contínua da superfície de ataque. Gestão de patches e vulnerabilidades deve ser contínua, baseada em inventário confiável e criticidade de ativos. Autenticação multifator, ou MFA, adiciona uma verificação além da senha e reduz o risco associado a credenciais comprometidas. Treinamento contínuo de usuários, segmentação de rede e um plano de resposta a incidentes documentado e testado completam uma base prática para decisões rápidas durante uma contenção.

Perguntas que todo decisor deveria se fazer agora

1. Meus backups realmente funcionariam num desastre como esse? Em quanto tempo minha operação volta ao ar?
2. Minha equipe conta com as ferramentas certas para identificar e bloquear um ataque como esse de forma imediata, antes de causar todo o desastre? Como estou investindo no preparo da minha equipe técnica?
3. Quanto tempo minha empresa sobreviveria sem acesso aos sistemas e arquivos?

Meus backups realmente funcionariam num desastre como esse? Em quanto tempo minha operação volta ao ar?

Uma cópia de dados só se torna backup confiável quando é isolada, criptografada, monitorada e restaurada em testes documentados. A organização precisa conhecer a ordem de recuperação de aplicações, bancos de dados, identidades e arquivos compartilhados, pois restaurar volumes sem restabelecer dependências pode prolongar a indisponibilidade.

Os objetivos de recuperação devem ser definidos por processo de negócio, considerando faturamento, logística, atendimento e obrigações contratuais. Um plano de resposta a incidentes precisa indicar quem decide pela restauração, quais evidências são preservadas e como validar que o ambiente recuperado está seguro antes de retomar a operação.

Minha equipe conta com as ferramentas certas para identificar e bloquear um ataque como esse de forma imediata, antes de causar todo o desastre? Como estou investindo no preparo da minha equipe técnica?

EDR, monitoramento proativo contínuo e alertas inteligentes fornecem visibilidade para identificar comportamentos como execução incomum, elevação de privilégios e movimentação lateral. Essas capacidades precisam estar conectadas a procedimentos claros de investigação, isolamento e escalonamento, para que alertas críticos gerem ações proporcionais ao risco.

Gestão contínua de patches reduz exposição a falhas conhecidas, enquanto treinamento recorrente prepara usuários e equipe técnica para reconhecer tentativas de engenharia social e executar os protocolos definidos. O preparo também exige simulações de incidentes, revisão de acessos privilegiados e atualização do inventário tecnológico conforme a infraestrutura evolui.

Quanto tempo minha empresa sobreviveria sem acesso aos sistemas e arquivos?

Essa resposta deve vir de uma análise de impacto no negócio, com custos por hora de indisponibilidade, dependências entre áreas e limites aceitáveis para cada processo. Empresas que conhecem esse cenário conseguem priorizar investimentos em segmentação de rede, MFA, redundância e recuperação conforme o efeito real sobre receita, clientes e reputação.

O plano de resposta a incidentes precisa reunir lideranças de tecnologia, operações, jurídico e comunicação, com responsabilidades previamente atribuídas. Backups isolados, EDR e monitoramento contínuo ajudam a reduzir a extensão do impacto, mas a continuidade depende da capacidade de tomar decisões coordenadas e restaurar serviços críticos em sequência validada.

Perguntas frequentes

Se sua empresa ainda não conta com uma estratégia integrada de proteção em camadas, considere realizar um Diagnóstico Estratégico de TI, sem compromisso , para identificar vulnerabilidades antes que se tornem manchetes.