Segurança para Portos e Terminais: a anatomia de um ransomware que para a movimentação de contêineres

Por que portos e terminais viraram alvo prioritário

Portos e terminais são, literalmente, os gargalos físicos do comércio exterior. Pela infraestrutura portuária brasileira passa a esmagadora maioria do volume de importação e exportação do país, e cada hora de operação representa contêineres movimentados, navios atracados em janela contratada e cargas perecíveis ou de alto valor em trânsito. Essa concentração de valor e de dependência logística é exatamente o que torna o setor atraente para grupos de ransomware: o atacante sabe que a pressão para pagar o resgate é enorme, porque cada dia parado custa demurrage, multas contratuais, perda de janela de atracação e ruptura em cadeias de suprimento inteiras que dependem daquele terminal.

O que mudou nos últimos anos foi a convergência entre o mundo digital e o físico. Terminais modernos operam com um Terminal Operating System (TOS) que orquestra a alocação de berços, o planejamento de pátio, a sequência de movimentação e a integração com guindastes de cais (portêineres/ship-to-shore), transtêineres sobre pneus (RTG) e sobre trilhos (RMG), além de sistemas de gates automatizados, OCR de contêineres, balanças, leitura de placas e integração com a Receita Federal e demais órgãos anuentes. Tudo isso depende de redes, servidores e PLCs. Quando essa camada digital cai, a camada física para junto: o guindaste não recebe a ordem de movimento, o caminhão não passa no gate, o despacho aduaneiro não é liberado.

Há ainda um vetor especificamente portuário: a fraude e o desvio de contêineres. Sistemas de liberação de carga, PINs de retirada, autorizações de gate e integrações com despachantes são alvos de manipulação. Comprometer a camada que decide qual contêiner sai com qual autorização permite desvio de carga de alto valor, contrabando e fraude aduaneira. Segurança portuária, portanto, não é só disponibilidade: é integridade dos sistemas que controlam quem leva o quê.

O mapa de ameaças de um terminal de contêineres

Os cinco riscos que mantêm a operação acordada à noite

A superfície de ataque de um porto combina o pior dos dois mundos: a complexidade de uma rede corporativa de TI (e-mail, ERP, RH, sistemas financeiros, integrações com clientes e fornecedores) e a fragilidade de um ambiente industrial de TO/OT cheio de sistemas legados, protocolos sem autenticação e equipamentos que não podem simplesmente ser reiniciados ou atualizados a qualquer momento. A Decripte trata cada um dos vetores abaixo como um cenário de defesa concreto, com detecção e resposta desenhadas para ele.

O elemento que conecta quase todos esses cenários é a ponte entre TI e TO. Em mais incidentes do que se imagina, o atacante não invade diretamente o sistema de controle do guindaste. Ele entra pela TI corporativa, por um e-mail de phishing que entrega credenciais, por um RDP exposto à internet, por uma VPN sem MFA ou por um fornecedor de manutenção comprometido. A partir desse ponto de entrada, ele faz reconhecimento, escala privilégios e procura o caminho para a rede que controla a operação. Onde não há segmentação, esse caminho é curto.

Segmentação TI/OT: a defesa que mais reduz o impacto

Se houvesse uma única medida para destacar na segurança de um terminal, seria a segmentação real entre a rede de TI e a rede de TO/OT. A maioria dos ataques de ransomware que param operações físicas só consegue chegar à camada industrial porque as duas redes estão planas, interligadas sem controle, compartilhando o mesmo domínio do Active Directory, as mesmas credenciais administrativas e os mesmos caminhos de rede. Quebrar essa continuidade é o que transforma um comprometimento de TI em um susto contido, em vez de uma paralisação total.

A Decripte estrutura essa separação seguindo o modelo de zonas e condutos da IEC 62443, a norma internacional de segurança de sistemas de automação e controle industrial, complementada pela lógica de níveis do modelo Purdue. Na prática, isso significa definir zonas de confiança (corporativa, DMZ industrial, supervisão/SCADA, controle/PLC, processo) e controlar rigorosamente cada conduto entre elas. Nenhum tráfego cruza da TI para a TO sem passar por uma DMZ-OT intermediária, com firewalls industriais que entendem protocolos de automação, inspeção de tráfego e a regra de ouro: a TO nunca inicia conexões de saída desnecessárias e a TI nunca alcança diretamente um PLC.

Além da segmentação macro entre TI e TO, aplica-se microssegmentação dentro da própria TO: a rede dos portêineres não precisa conversar com a rede das balanças, que não precisa conversar com o sistema de OCR dos gates. Cada célula operacional é isolada para que uma infecção em um equipamento não se propague horizontalmente para todos os outros. Essa contenção lateral é o que evita que um único ponto comprometido derrube o terminal inteiro.

SOC 24x7: enxergar o ataque antes da cifragem

Ransomware não detona no minuto em que entra. Entre o comprometimento inicial e a cifragem em massa há uma janela, frequentemente de dias ou semanas, em que o atacante faz reconhecimento, coleta credenciais, escala privilégios, desativa defesas, identifica e tenta destruir backups e se move lateralmente em direção aos sistemas mais críticos. Essa janela é a oportunidade de defesa. Quem tem visibilidade contínua a detecta; quem não tem só descobre o ataque quando as telas exibem a nota de resgate e os guindastes param.

O SOC 24x7 da Decripte monitora simultaneamente os dois domínios do terminal. Na TI, correlaciona eventos de e-mail, endpoints, identidade, acessos remotos e tráfego de rede em busca de phishing bem-sucedido, uso anômalo de contas privilegiadas, ferramentas de movimentação lateral e exfiltração. Na TO, o monitoramento é desenhado para o ambiente industrial: detecção passiva de tráfego para não interferir nos sistemas de controle, baseline de comportamento normal dos PLCs e dos servidores do TOS, e alertas para qualquer comando, conexão ou alteração de configuração fora do padrão esperado.

O valor do SOC não está apenas em gerar alertas, mas em transformá-los em ação. A Decripte trabalha com detecção priorizada por criticidade do ativo: um sinal anômalo no servidor do TOS ou na DMZ-OT recebe tratamento imediato, porque ali está o coração da operação. A correlação entre eventos de TI e TO permite identificar exatamente o momento perigoso, quando um comprometimento que começou no e-mail corporativo começa a se aproximar da rede industrial, e agir antes que a ponte seja atravessada.

Resposta a Incidentes em ambiente portuário

Quando a detecção vira confirmação de incidente, a velocidade e a precisão da resposta definem o tamanho do prejuízo. A Decripte oferece Resposta a Incidentes com SLA de contenção em até 1 hora, mas em um terminal a contenção não pode ser cega. Isolar o segmento errado pode travar um equipamento em movimento ou interromper a operação de forma insegura. Por isso, os runbooks são construídos em conjunto com a equipe de operação do porto, mapeando previamente o que pode ser isolado de imediato, o que exige uma parada controlada e ordenada, e o que precisa preservar a segurança física antes de qualquer ação lógica.

A Resposta a Incidentes da Decripte cobre o ciclo completo: contenção para parar a propagação e preservar o que ainda está saudável; investigação forense para entender como o atacante entrou, por onde se moveu e o que tocou; erradicação para remover persistência, credenciais comprometidas e artefatos maliciosos; e recuperação para reerguer os sistemas com segurança, na ordem certa, sem reintroduzir a ameaça. Tudo documentado para o relatório de incidente, que sustenta as obrigações regulatórias e a comunicação com clientes, armadores e seguradoras.

Recuperação confiável: backups que o atacante não cifra

A diferença entre pagar resgate e recuperar sozinho está, quase sempre, na qualidade dos backups. Grupos de ransomware modernos não cifram apenas os dados de produção: eles caçam ativamente os backups, porque sabem que um backup acessível e recuperável tira deles o poder de negociação. Um backup que está na mesma rede, com as mesmas credenciais e online o tempo todo é, na prática, mais um alvo, não uma salvaguarda.

Recuperação confiável também é uma questão de redundância arquitetural. Sistemas críticos do terminal não devem depender de um único servidor, um único link ou um único data center. A Decripte ajuda a desenhar a redundância nos pontos certos, equilibrando custo e criticidade, para que a falha de um componente não vire a parada do terminal inteiro. Redundância bem feita é o que permite que parte da operação continue enquanto a outra é recuperada.

Conformidade e gestão contínua de risco

Segurança portuária não é um projeto com início e fim: é um programa contínuo. A Decripte estrutura esse programa apoiada em normas reconhecidas e nas exigências regulatórias aplicáveis. A LGPD, fiscalizada pela ANPD, rege o tratamento de dados pessoais que circulam na operação (clientes, motoristas, despachantes, colaboradores) e impõe deveres de segurança, notificação de incidentes e prestação de contas. A ISO 27001 fornece a estrutura de sistema de gestão de segurança da informação que clientes corporativos e auditores cada vez mais pedem. E quando há processamento de dados de cartão de pagamento na operação, o PCI-DSS se aplica e precisa ser demonstrado.

A gestão de vulnerabilidades fecha o ciclo. Em um terminal, isso significa inventariar continuamente os ativos de TI e de TO, priorizar correções pelo risco real ao negócio (um servidor de TOS exposto pesa mais que uma estação administrativa isolada), e tratar a realidade de que muitos sistemas industriais não podem ser atualizados a qualquer momento, exigindo controles compensatórios como segmentação reforçada e monitoramento dedicado enquanto a janela de manutenção não chega. Pentests recorrentes validam, na prática, se as defesas resistem, em vez de presumir que sim.

Como a Decripte trabalha junto com a operação do porto

Nenhuma das medidas acima funciona se for imposta de cima para baixo, ignorando a realidade operacional do terminal. A Decripte trabalha lado a lado com as equipes de TI, automação e operação do porto, porque são elas que conhecem as dependências físicas, as janelas de manutenção possíveis e os limites do que pode ou não ser interrompido. A segurança é construída sobre a operação, não contra ela.

O ponto de partida costuma ser um diagnóstico gratuito de Gestão de Ameaças em decripte.io/free, que dá visibilidade inicial de exposição e risco sem compromisso. A partir daí, evolui-se para um desenho de arquitetura, implantação de monitoramento, contratação de SOC 24x7 e Resposta a Incidentes, e a maturação contínua do programa de conformidade. O objetivo final é simples de enunciar e difícil de alcançar sem método: que o terminal mantenha a movimentação de contêineres fluindo, com a tranquilidade de saber que, se algo acontecer, há quem detecte em minutos e contenha em até uma hora.

Anatomia ilustrativa: o ransomware que parou a movimentação de contêineres de um terminal

Como a Decripte responde a um incidente em um terminal portuário

A Resposta a Incidentes da Decripte para portos é desenhada para a realidade de um ambiente onde o digital comanda o físico. Cada passo equilibra velocidade de contenção com segurança operacional, com SLA de contenção em até 1 hora.

1. Acionamento e triagem imediata: o SOC 24x7 confirma o incidente, classifica a criticidade pelos ativos afetados (TOS, integração aduaneira, rede de TO, sistemas de gate) e dispara a equipe de Resposta a Incidentes com o relógio do SLA de contenção em até 1 hora rodando.
2. Contenção operacionalmente segura: seguindo runbooks pré-acordados com a operação, isola contas e segmentos comprometidos, bloqueia o conduto entre TI e TO e preserva os sistemas de controle de guindastes e RTGs em modo seguro, evitando parar equipamentos de forma perigosa.
3. Investigação forense: identifica o vetor de entrada (phishing, VPN, RDP, fornecedor), reconstrói a movimentação lateral, determina o que foi acessado ou exfiltrado e estabelece a linha do tempo do ataque para sustentar decisões e obrigações legais.
4. Erradicação completa: remove persistências, contas maliciosas e artefatos, rotaciona credenciais privilegiadas, corrige as falhas exploradas e fecha os caminhos que permitiram a movimentação entre redes, garantindo que a ameaça não volte na recuperação.
5. Recuperação ordenada e validada: restaura sistemas a partir de backups imutáveis e imagens douradas confirmadas como limpas, na ordem certa de dependência, restabelece a integração aduaneira e reconcilia o estado físico do pátio com o estado lógico do TOS.
6. Comunicação e obrigações regulatórias: apoia a comunicação com clientes, armadores e seguradoras e a avaliação de notificação à ANPD quando há dados pessoais envolvidos, com relatório técnico e cronologia do incidente.
7. Hardening pós-incidente: converte o aprendizado em controles permanentes (segmentação TI/OT definitiva, MFA para fornecedores, backups offline, monitoramento ampliado de OT) para que o mesmo ataque não se repita.
8. Validação por pentest: testa as novas barreiras com um exercício ofensivo controlado, confirmando na prática que o caminho explorado foi efetivamente fechado.

Como a Decripte estrutura a segurança de portos e terminais

Antes, durante e depois de qualquer incidente, a segurança de um terminal precisa estar apoiada em pilares estáveis. A Decripte estrutura o programa em torno de cinco frentes que se reforçam mutuamente, sempre construídas em conjunto com a operação do porto.

Planos recomendados para Portos e Terminais

Perguntas frequentes

Termos do setor

TOS (Terminal Operating System)

Sistema central que orquestra a operação de um terminal portuário: alocação de berços, planejamento e gestão de pátio, sequência de movimentação de contêineres e integração com guindastes, gates e órgãos aduaneiros. É um dos ativos mais críticos a proteger, porque sua indisponibilidade para a operação física.

TO/OT (Tecnologia Operacional / Operational Technology)

Conjunto de sistemas, controladores (PLCs) e equipamentos que comandam processos físicos, como guindastes, transtêineres (RTG/RMG), balanças e gates. Diferente da TI tradicional, não tolera o playbook clássico de isolar e desligar, porque uma ação errada pode causar risco físico ou parada operacional.

IEC 62443

Conjunto de normas internacionais para segurança de sistemas de automação e controle industrial. Define, entre outros conceitos, o modelo de zonas e condutos, usado para segmentar redes industriais em níveis de confiança e controlar rigorosamente a comunicação entre eles, base da separação entre TI e TO em um terminal.

DMZ-OT

Zona desmilitarizada industrial: um segmento de rede intermediário, controlado por firewalls, que fica entre a rede corporativa de TI e a rede industrial de TO. Garante que nenhum tráfego cruze diretamente da TI para os sistemas de controle, servindo como barreira para impedir que um comprometimento corporativo alcance a operação física.

Demurrage

Multa ou taxa cobrada quando um navio (ou contêiner) permanece além do tempo contratado em razão de atrasos na operação. Em um incidente que paralisa o terminal, o demurrage é um dos custos mais imediatos e visíveis, somando-se à ruptura logística de toda a cadeia que depende daquele porto.

Backup imutável

Cópia de segurança que, uma vez gravada, não pode ser alterada nem excluída durante um período definido, mesmo por contas administrativas. Protege contra ransomware moderno, que caça e destrói backups acessíveis; combinado a cópias offline ou air-gapped, é o que viabiliza a recuperação sem pagamento de resgate.