Em 19 de março de 2019, a Norsk Hydro, uma das maiores produtoras de alumínio do mundo, sofreu um ataque de ransomware que interrompeu sistemas corporativos e afetou sua produção industrial. 

Uma semana depois, parte das operações ainda funcionava com restrições.

O alcance do incidente colocou em evidência uma questão crítica para a gestão empresarial: como uma invasão à infraestrutura de TI conseguiu comprometer operações industriais em diferentes unidades da companhia?

Como o LockerGoga comprometeu a infraestrutura da Norsk Hydro?

Embora identificado em 19 de março, o ataque começou meses antes. 

Segundo informações divulgadas pela Microsoft, o acesso inicial ocorreu aproximadamente três meses antes da execução do ransomware, quando um funcionário abriu um e-mail malicioso que aparentava ter sido enviado por um cliente confiável.

Os invasores aproveitaram esse acesso para avançar pela infraestrutura, ampliar seus privilégios e preparar a distribuição do malware.

O papel do Active Directory no ataque

O comprometimento de privilégios administrativos associados ao Active Directory permitiu utilizar recursos de gerenciamento para distribuir o LockerGoga entre servidores e estações de trabalho.

O malware não dependia de propagação automática. Seu alcance estava associado ao uso indevido de permissões elevadas e ferramentas administrativas da infraestrutura corporativa.

Esse mecanismo evidencia o risco de concentrar permissões capazes de alcançar diversos sistemas. 

Para as lideranças de TI e segurança, controlar o acesso privilegiado e limitar seu alcance são medidas essenciais para reduzir a extensão de um comprometimento.

Como o ransomware afetou a produção industrial?

Para conter o ataque, a Norsk Hydro isolou sistemas e reduziu a conectividade entre unidades, restringindo o acesso a aplicações utilizadas na produção e em processos comerciais.

As divisões de energia, produção primária de alumínio e bauxita mantiveram atividades próximas da normalidade, embora com maior dependência de procedimentos manuais.

As operações de produtos extrudados sofreram impactos mais severos, com redução de capacidade e interrupções em determinadas instalações.

Uma semana depois, parte da produção ainda estava comprometida

Em 26 de março, sete dias após a identificação do ataque, a maior parte das operações havia retornado à capacidade normal.

Entretanto, determinadas unidades da divisão Extruded Solutions ainda operavam entre 70% e 80% de sua capacidade. Na área de Building Systems, as atividades permaneciam praticamente paralisadas.

A infraestrutura de TI continuou em recuperação mesmo após a retomada parcial da produção. O incidente também afetou o processamento de pedidos, a produtividade e a capacidade de atendimento.

As diferenças entre as unidades evidenciam a importância de mapear dependências tecnológicas, identificar processos prioritários e prever alternativas operacionais para períodos de indisponibilidade.

Como a Norsk Hydro recuperou seus sistemas sem pagar resgate?

A companhia mobilizou equipes internas, especialistas externos e autoridades norueguesas para investigar o comprometimento, conter a ameaça e reconstruir os ambientes afetados.

A resposta contou com apoio da Microsoft e colaboração de órgãos como o serviço nacional de investigação criminal da Noruega, Kripos, e a Autoridade Nacional de Segurança, NSM.

O papel dos backups na recuperação

A disponibilidade de backups próprios permitiu restaurar dados e sistemas sem utilizar ferramentas de descriptografia dos criminosos.

A reconstrução exigiu remover componentes maliciosos, verificar as condições de segurança e restabelecer gradualmente os serviços necessários à operação.

Com dados recuperáveis e apoio técnico especializado, a empresa conseguiu conduzir a retomada conforme suas prioridades.

A experiência demonstra que a decisão de não pagar um resgate precisa estar sustentada por recursos efetivos de restauração e procedimentos capazes de reconstruir ambientes comprometidos. 

Essa capacidade de recuperar a operação após um ransomware depende da integração entre proteção de dados, infraestrutura e processos de recuperação.

Quanto custou o ataque de ransomware à Norsk Hydro?

No relatório anual de 2019, a Norsk Hydro estimou o impacto financeiro entre 650 milhões e 750 milhões de coroas norueguesas. 

Uma atualização posterior apontou uma estimativa próxima de 800 milhões de coroas, equivalente a dezenas de milhões de dólares.

Os principais impactos envolveram:

• Produção: redução da capacidade operacional e perda de volumes comercializados.
• Processos comerciais: dificuldades no recebimento e processamento de pedidos.
• Infraestrutura: custos de investigação, contenção e reconstrução de sistemas.
• Operação: mobilização de equipes e adoção de procedimentos alternativos.

Parte das perdas contou com cobertura de seguros cibernéticos, mas a indenização não eliminou os efeitos da indisponibilidade.

Para a gestão executiva, os números demonstram como o tempo de paralisação influencia os custos de um incidente. 

Essa relação deve orientar a definição de prioridades de recuperação e a alocação de recursos para proteger processos essenciais.

Quatro medidas para fortalecer a recuperação após um ransomware

A experiência da Norsk Hydro oferece referências para avaliar a capacidade de uma organização de recuperar sistemas e manter atividades essenciais diante de um comprometimento de grande escala.

1. Proteger os backups contra exclusões e alterações

Invasores com acesso privilegiado podem tentar comprometer os repositórios de backup.

Backups imutáveis restringem alterações e exclusões durante períodos de retenção definidos. Cópias isoladas reduzem a exposição aos sistemas comprometidos.

A estratégia deve assegurar a disponibilidade de pontos de restauração mesmo quando o ambiente principal estiver indisponível.

2. Separar os controles administrativos

Os recursos de backup devem possuir controles de acesso independentes dos utilizados na infraestrutura principal.

A separação de privilégios, a autenticação multifator e a segmentação de rede ajudam a limitar o alcance de credenciais comprometidas.

Em ambientes integrados ao Active Directory, também é necessário avaliar as dependências de autenticação e gerenciamento dos sistemas de recuperação.

3. Testar a recuperação de aplicações críticas

Os testes devem verificar a integridade dos dados, a disponibilidade dos recursos computacionais e a sequência de restauração das aplicações, inclusive quando servidores ou serviços de autenticação estiverem indisponíveis.

Dois indicadores orientam o planejamento:

RPO (Recovery Point Objective): perda máxima tolerável de dados, expressa em tempo.

RTO (Recovery Time Objective): objetivo de tempo para restabelecer um serviço após uma interrupção.

Esses parâmetros devem refletir a criticidade de cada aplicação e ser validados periodicamente para verificar se os recursos disponíveis atendem às necessidades operacionais.

4. Integrar Disaster Recovery e resposta a incidentes

A recuperação exige coordenação entre investigação, contenção e retomada dos serviços.

O plano de Disaster Recovery deve estabelecer responsabilidades, recursos necessários, dependências entre aplicações e prioridades de restauração.

Sua integração com a resposta a incidentes permite alinhar decisões técnicas às necessidades do negócio e organizar a retomada das operações.

Sua empresa conseguiria recuperar a operação a tempo de mitigar prejuízos?

A Norsk Hydro conseguiu reconstruir seus sistemas sem pagar o resgate, mas enfrentou prejuízos milionários e interrupções significativas.

O caso reforça a importância de estabelecer prazos de recuperação compatíveis com a criticidade dos processos e com os impactos financeiros que a empresa pode suportar.

Avalie se sua infraestrutura está preparada para recuperar sistemas críticos com agilidade após um ataque de ransomware.

Converse com os especialistas da Penso sobre estratégias de proteção de dados, backup e Disaster Recovery, considerando seus objetivos de recuperação (RPO e RTO) e as prioridades operacionais do negócio.

Penso, a gente resolve.