01
Autenticação multifator resistente a phishing
Senha sozinha não resiste a um atacante que já comprometeu o e-mail de um prestador. MFA por aplicativo autenticador ou chave física; nunca por SMS.
Segurança OT · Acesso remoto de manutenção
Acesso Remoto em OT
O caminho mais comum de entrada em uma planta industrial não é um ataque sofisticado. É um túnel de acesso remoto aberto por um integrador para uma parada de manutenção, que nunca foi fechado porque ninguém lembrou que existia.
Acesso remoto em OT não se resolve com VPN. Resolve-se com inventário, prazo e aprovação nominal. A pergunta que importa não é se existe acesso remoto — é quantos existem, quem abriu cada um e quando cada um expira.
Diagnóstico
O acesso que ninguém inventariou
Em quase toda planta industrial existe pelo menos um caminho de acesso remoto que não está documentado. Ele foi criado para resolver um problema real e legítimo — uma parada de manutenção, um suporte de fabricante, um ajuste de configuração — e permaneceu ativo depois que o problema acabou.
Origem 01Túnel aberto pelo integrador para uma parada de manutenção e mantido por conveniência.
Origem 02Suporte do fabricante com acesso permanente para diagnóstico, previsto no contrato de garantia.
Origem 03VPN corporativa que alcança a rede de controle porque ninguém definiu onde ela deveria terminar.
Origem 04Ferramenta de acesso remoto instalada direto no equipamento, sem passar por nenhum controle central.
Origem 05Painel web de um equipamento exposto à internet, com login padrão de fábrica nunca alterado.
Nenhum desses acessos é necessariamente malicioso. Todos são, sem exceção, uma porta que alguém precisa saber que existe.
Controles
Os cinco controles mínimos
Não existe acesso remoto seguro sem estes cinco controles. Eles não são opcionais em sequência: cada um cobre uma falha que os outros quatro não cobrem.
02
Bastion host dedicado
Todo acesso remoto passa por um único ponto intermediário, que registra quem entrou, quando e o que fez. Não existe conexão direta do prestador para o equipamento.
03
Sessão gravada e auditável
A gravação não serve apenas para investigar incidente. Ela muda o comportamento de quem acessa, porque o acesso deixa de ser anônimo.
04
Janela de acesso com expiração automática
O acesso nasce com data e hora para terminar. Renovação é decisão consciente, não consequência do esquecimento.
05
Aprovação nominal por evento
Cada sessão é aprovada por uma pessoa identificada, com justificativa registrada. Aprovação genérica de "acesso do fornecedor" não é aprovação.
Os cinco controles juntos custam menos que uma parada não planejada de quatro horas.
Armadilhas
O que não resolve
Estas são as soluções mais comuns encontradas em planta e o motivo pelo qual cada uma delas não fecha o problema.
| Solução encontrada | Por que parece suficiente | Por que não é |
|---|---|---|
| VPN genérica | Criptografa o tráfego e parece proteger o caminho. | Autentica a conexão, não a pessoa. Uma credencial vazada abre o túnel inteiro até a rede de controle. |
| Conta compartilhada de fornecedor | Resolve o plantão e evita criar usuário para cada técnico. | Não permite saber quem fez o quê. Em auditoria, a conta existe; o responsável, não. |
| Liberação por endereço IP | Restringe a origem e parece um controle forte. | O IP identifica a rede de origem, não o indivíduo. Quem estiver naquela rede entra. |
| Firewall entre TI e OT | Separa os dois ambientes e parece resolver a arquitetura. | Não controla o caminho que atravessa a separação. O túnel passa por cima do firewall. |
| Acesso habilitado só durante a manutenção | Parece temporário e controlado. | Sem expiração automática e sem registro, "durante a manutenção" passa a significar "desde 2019". |
Caso real
Por que o caso dos controladores expostos importa
Em outubro de 2026, cerca de 700 supermercados na França tiveram a refrigeração comprometida por meio de controladores Danfoss AK-SM e AK-SC, com o alerta do CERT-FR ampliado no dia seguinte para equipamentos Copeland XWEB e Dixell XWEB.
O que estava exposto
Painéis de controle de refrigeração acessíveis diretamente pela internet, sem proteção intermediária.
A dimensão do problema
A Censys contava quase 3.000 painéis Danfoss StoreView expostos em 11 de outubro, mais de 1.800 deles na França.
O efeito da correção
Em 14 de outubro o número francês havia caído para 537, enquanto o restante do mundo quase não se moveu.
O detalhe que importa
Investigadores não identificaram reivindicação de autoria nem pedido de resgate — o que torna o caso um exemplo de acesso remoto sem finalidade financeira clara.
1.800+
painéis expostos na França (11/10)
537
painéis franceses em 14/10
~700
supermercados afetados na França
A exposição foi corrigida depois do prejuízo, e apenas no país que teve prejuízo. Em todo lugar onde nada aconteceu ainda, o painel continua aberto.
Autoavaliação
Checklist de acesso remoto
Percorra os dez itens abaixo. Cada "não" é um caminho aberto que você não controla.
0 de 10 itens marcados
Marque cada item que sua operação já cumpre hoje
- 01
- 02
- 03
- 04
- 05
- 06
- 07
- 08
- 09
- 10
Norma
Como isso conversa com a IEC 62443
Acesso remoto não é um tema separado da norma: é um caso específico de controle de acesso e de fronteira de zona.
Controle de acesso baseado em papel
Cada prestador acessa apenas o que sua função exige, e o papel precisa estar documentado antes do acesso existir.
Zonas e condutos
Todo acesso remoto atravessa uma fronteira de zona. A travessia precisa de controle identificado, não de uma regra de firewall genérica.
Registro e auditoria
A norma trata evidência como requisito. Acesso sem registro é acesso não comprovado — e não comprovado, em auditoria, equivale a não controlado.
Dúvidas
Perguntas frequentes
Respostas curtas para as dúvidas mais comuns antes de uma revisão de acesso.
Já tenho VPN, isso não é suficiente?
VPN autentica a conexão, não a pessoa. Sem bastion host, MFA e registro por sessão, uma credencial vazada abre o caminho até a rede de controle.
Preciso bloquear todo acesso remoto?
Não. O acesso remoto é necessário para manutenção. O problema não é a existência dele, é a ausência de inventário, prazo e registro.
O fornecedor exige acesso permanente para garantia. Como resolver?
Negociando escopo: acesso por evento, com janela definida e aprovação nominal. É uma cláusula contratual, não uma limitação técnica.
Acesso remoto é responsabilidade da TI ou da operação?
Da operação, porque o efeito é na planta. A TI executa o controle; a operação responde pelo risco.
Como sei quantos acessos existem hoje?
Pela revisão dos túneis ativos, das regras de firewall e das ferramentas de acesso instaladas em equipamento. É uma das etapas do diagnóstico de maturidade.
Próximo passo
O acesso que você não sabe que existe é o que ninguém vai fechar.
A revisão de acesso remoto é a etapa de menor custo e maior efeito imediato em qualquer programa de segurança OT.