1. Por que manufatura é o alvo #1 no Brasil
A indústria brasileira concentra a combinação mais atrativa para grupos de ransomware no país. Segundo análise da Check Point e SOCRadar (2024–2025), 20,56% de todos os ataques de ransomware no Brasil tiveram como alvo empresas industriais — percentual mais alto que qualquer outro setor. No primeiro trimestre de 2025, o Brasil liderou a América do Sul com 22 incidentes, com foco especial em indústria de alimentos e bebidas (herança direta do caso JBS).
Globalmente, o cenário é ainda mais severo: manufatura é o setor mais atacado há 5 anos consecutivos segundo IBM X-Force. Em 2025, ataques de ransomware contra fabricantes aumentaram 56% ano contra ano, indo de 937 (2024) para 1.466 incidentes. Grupos de ransomware focados em organizações industriais cresceram 64% (de 80 para 119 grupos ativos), atingindo 3.300 organizações no ano.
Os motivos da concentração em manufatura são estruturais:
- Baixíssima tolerância a downtime. Cada hora de linha parada custa centenas de milhares em receita perdida — pressão para pagar resgate é imediata.
- Convergência IT/OT. Indústria 4.0 integrou sistemas SCADA, PLC, MES e ERP na mesma rede — ataque em endpoint IT alcança linha de produção.
- Sistemas legados massivos. Windows XP embarcado em CLPs, sistemas SCADA de anos 90 ainda ativos, patch cycles medidos em anos.
- Credenciais industriais valem muito. Acesso a ambiente OT vale entre US$ 4 mil e US$ 70 mil na dark web (PT Security).
- Supply chain complexa. Centenas de fornecedores, integradores, contratados — qualquer um pode ser vetor.
- Setores brasileiros de alto valor. Agrobusiness (líder mundial), automotivo, mineração, petróleo e gás, siderurgia, papel e celulose — concentram grandes contas.
2. Casos reais brasileiros: JBS, Embraer, agroindústria
JBS S.A. — maio 2021 (REvil, US$ 11 milhões)
Em 30 de maio de 2021, a JBS S.A. — maior frigorífico do mundo com sede em São Paulo — sofreu ataque do grupo REvil que paralisou operações de processamento de carne bovina e suína nos Estados Unidos, Canadá e Austrália. Cinco plantas ficaram fechadas por 3 dias. A companhia pagou US$ 11 milhões em resgate para restabelecer operações e evitar vazamento de dados sensíveis. Segundo análise da SecurityScorecard, o ataque teria começado em março de 2021 — dois meses antes da manifestação — e teve escopo bem maior do que inicialmente divulgado. O custo total do incidente (resgate + lucros cessantes + recuperação + reputação + impacto em cadeia de abastecimento alimentar) foi estimado em mais de US$ 100 milhões.
Lições do caso JBS para o desenho de programa cyber industrial:
- Data retroativa importa. Ataque manifestou-se em maio; começou em março. Sem data retroativa adequada, período de comprometimento anterior pode ficar descoberto.
- Contingent BI é crítico. Fornecedores da JBS (rebanho, logística, embalagem) sofreram impacto secundário — padrão clara de contingent business interruption.
- Ransom coverage requer OFAC clearance. REvil está ligado a atores russos; qualquer pagamento passa por verificação OFAC/ONU/UE.
Embraer — novembro 2020 (dados na dark web)
A Embraer, terceira maior fabricante de aviões do mundo, sofreu ataque de ransomware em novembro de 2020. Hackers publicaram na dark web dados de funcionários, contratos comerciais, fotos de simulações de voo e código-fonte. A empresa não pagou o resgate, mas o vazamento gerou impacto reputacional e regulatório — especialmente por envolver dados de defesa e aviação. O caso demonstrou que setor aeroespacial é alvo prioritário de espionagem industrial disfarcada de ransomware.
Setor alimentar/bebidas — Q1 2025
No primeiro trimestre de 2025, o setor de alimentos e bebidas concentrou boa parte dos 22 incidentes brasileiros de ransomware — padrão que sinaliza que grupos internacionais estão replicando a "receita JBS" contra empresas menores da cadeia agroalimentar brasileira. Frigoríficos regionais, indústrias de bebidas, empresas de açúcar e etanol, e processadoras de grãos são alvos típicos — frequentemente sem cobertura cyber adequada.
3. Riscos OT/ICS específicos
OT (Operational Technology) e ICS (Industrial Control Systems) formam a espinha dorsal digital da linha de produção: SCADA (Supervisory Control and Data Acquisition), PLCs (Programmable Logic Controllers), HMI (Human-Machine Interface), DCS (Distributed Control Systems), historians, sistemas SIS (Safety Instrumented Systems), e crescentemente sensores IIoT e conectividade 5G industrial. Vetores típicos de ataque:
- Comprometimento via IT corporativa. Phishing em endpoint administrativo alcança rede OT por segmentação inadequada — vetor #1 em Brasil.
- Exploração de SCADA/PLC. Vulnerabilidades específicas de Siemens SIMATIC, Rockwell ControlLogix, Schneider Modicon, GE Proficy.
- Ataques à supply chain de software OT. Update malicioso de vendor comprometido (padrão Solarwinds aplicado a fornecedor industrial).
- Comprometimento físico assistido. Insider ou contratado que introduz USB em HMI de sala de controle.
- Ransomware "OT-aware". Famílias como EKANS/Snake e BlackCat que reconhecem e visam processos SCADA.
- Indústria 4.0 vulnerabilidades. Sensores IIoT sem hardening, edge computing exposto, digital twins com credenciais fracas.
4. Supply chain e J-magic (VPN gateways)
Em 2024–2025, o grupo de ameaça por trás da campanha J-magic visou especificamente Junos OS VPN gateways em empresas dos setores semicondutores, energia, manufatura, maquinário pesado, construção, bioengenharia e TI — explicitamente no Brasil, Colômbia, Chile, Venezuela, Peru e outras regiões. O padrão de ataque via VPN corporativa (frequentemente sem MFA no gateway) representa exposição significativa para indústrias brasileiras integradas via rede privada com fornecedores, filiais e ambiente OT.
Sem MFA em 100% dos acessos remotos (VPN corporativa, VPN industrial, RDP, SSH), as principais seguradoras brasileiras negam cotação de cyber ou aplicam franquia agravada em 50–100%. Para indústria, isso incluiu também acesso remoto de fornecedores integradores e engenheiros de campo — ponto que frequentemente escapa auditoria interna e só aparece na resposta a incidente.
5. Coberturas cyber para indústria
6. Exclusões e gaps setoriais
(1) Sistemas legados — SCADA/PLC EOL sem endosso explícito nega sinistro. (2) Guerra e Estado-nação — ataques atribuídos a atores russos, chineses, norte-coreanos podem ser excluídos sob exclusão Lloyd's revisada. (3) Lesão corporal / dano físico tangível — cyber puro exclui; requer combinação com property + endosso. (4) Infraestrutura de terceiros — queda de nuvem sem ataque não é sinistro cyber. (5) Conhecimento prévio — CVE crítico não patchado dentro de janela razoável — comum em SCADA legado.
Gap entre patrimonial e cyber
A arquitetura típica de seguro industrial brasileiro tem apólice patrimonial (cobre dano físico a equipamento, estoque, edifício) com exclusão cyber desde a Circular SUSEP 637/2021. E tem apólice cyber com exclusão de dano físico tangível. O resultado: ataque cyber que causa dano físico fica em gap. Solução: endosso de cyber-physical damage na apólice cyber, ou endosso de cyber write-back na apólice property. Sem essa arquitetura, gap descoberto.
7. Como dimensionar limite industrial
Referências típicas de mercado brasileiro para médias empresas e grandes contas industriais:
- Indústria de médio porte (R$ 100 a R$ 500 milhões de receita anual): limite primário R$ 15 a R$ 50 milhões, com franquia de R$ 200–500 mil.
- Indústria de grande porte (R$ 500 milhões a R$ 2 bilhões): R$ 50 a R$ 150 milhões, com endossos OT-específicos e contingent BI.
- Grandes contas / corporate multinacional (R$ 2 bilhões+): R$ 150 a R$ 500 milhões, com construção de torre em camadas primária + excesso.
- Agroindústria grande porte (frigoríficos, indústria de açúcar/etanol, grãos): tipicamente R$ 100 a R$ 300 milhões, com foco em contingent BI e product recall cyber.
- Automotivo e autopeças: R$ 50 a R$ 200 milhões, com ênfase em BI de linha e supply chain.
- Petróleo, gás e petroquímica: R$ 100 a R$ 500 milhões, com endossos cyber-physical, environmental cyber e defesa regulatória ANP.
8. Como a NextGuard estrutura programas industriais
Atendemos médias empresas e grandes contas corporate do setor industrial no Brasil — agribusiness, automotivo, autopeças, alimentos e bebidas, papel e celulose, petróleo e gás, mineração, siderurgia, petroquímica e maquinário pesado. Nossa abordagem trabalha em quatro camadas:
- Diagnóstico de exposição industrial. Mapeamento de rede OT/IT, inventário de sistemas SCADA/PLC/HMI, identificação de sistemas legados EOL, avaliação de segmentação de rede e acesso remoto (VPN + MFA), dependência de fornecedores críticos.
- Dimensionamento de limite industrial. Modelagem baseada em receita, criticidade de linha, cenários de contingent BI (JBS-tipo), exposição a cyber-physical, product recall e supply chain.
- Colocação com as principais seguradoras do Brasil. Cotação comparativa com as seguradoras brasileiras líderes em cyber industrial, com endossos negociados para OT/ICS, cyber-physical, bricking e supply chain expandido.
- Ativação em incidente. Coordenação com panel de forense especializado em OT (Dragos, Claroty, Nozomi), advocacia regulatória setorial, comunicação com investidores e imprensa especializada.
Check Point / SOCRadar Brazil Ransomware Report 2024–2025 (manufatura 20,56%); Industrial Cyber 2025 (manufatura +56% globalmente); Dragos Q2 2025 OT Ransomware Analysis; IBM X-Force (5 anos consecutivos manufatura mais atacada); Wikipedia / SecurityScorecard sobre JBS ransomware (US$ 11M REvil, março–maio 2021); Infosecurity Magazine sobre Embraer (novembro 2020); Kaspersky Security Bulletin 2025 ICS-CERT; Zeronetworks OT Security Trends 2025; PT Security sobre credenciais industriais dark web (US$ 4K–70K); Shieldworkz 2025 OT/ICS/IoT Threat Landscape.
