Um ataque hacker parou 140 centros de distribuição refrigerada no Japão, e o alvo não era dado

Um ataque hacker parou 140 centros de distribuição refrigerada no Japão. KFC, Kura Sushi e fabricante de sorvete ficaram sem entrega. Ninguém roubou dado nenhum: roubaram a capacidade de mover comida.

A Nichirei, gigante japonesa de logística de alimentos, sofreu um ataque cibernético que interrompeu a operação de uma rede nacional de aproximadamente 140 centros de distribuição refrigerada. A parada atingiu indústrias, redes de supermercado, restaurantes e marcas grandes de alimentos que dependem da empresa pra armazenar e transportar produto sensível a temperatura.

Entre os clientes que relataram atraso de entrega estão o KFC Japão, a rede Kura Sushi, varejistas e produtores de sorvete. Um grupo de extorsão reivindicou o ataque, e a Nichirei vem restaurando a operação aos poucos.

Essa notícia parece pequena perto de um vazamento de milhões de senhas. É o contrário. Ela marca a passagem do ransomware de crime digital pra crime de infraestrutura física.

Por que cadeia do frio quebra tão rápido quando o sistema cai

Logística refrigerada não é armazém com ar-condicionado. É um sistema onde estoque, armazenagem, transporte e monitoramento de temperatura funcionam sincronizados em janelas curtas.

Cada produto tem uma faixa de temperatura e um prazo. Sorvete precisa ficar abaixo de menos 18 graus. Carne resfriada tem dias, não semanas. Peixe pra sushi tem uma janela ainda menor. O sistema é que decide qual pallet sai primeiro, pra qual caminhão, em qual ordem, com qual temperatura.

Quando o software de agendamento e de processamento de pedido some, não é que fica lento. É que ninguém sabe o que tem onde nem pra onde vai. E diferente de uma fábrica de parafuso, que perde um dia de produção e recupera na semana seguinte, aqui o estoque parado está morrendo. Cada hora sem sistema vira produto descartado, contrato quebrado e prateleira vazia.

É exatamente por isso que atacante escolheu esse alvo. Empresa cuja operação não tolera parada é a que mais rápido senta na mesa pra negociar.

O padrão novo: atacar quem não pode parar, não quem tem dado valioso

A economia do ransomware mudou e vale entender a lógica, porque ela explica quem vai ser atacado a seguir.

A fase antiga era roubar dado e ameaçar vazar. Funcionou bem por anos, e foi perdendo força porque empresa aprendeu a fazer backup, porque vazamento virou rotina e porque o dano reputacional de um vazamento é grande mas absorvível.

A fase nova é parar a operação. Não interessa se o dado é sensível. Interessa se a empresa consegue funcionar sem o sistema. Hospital, cadeia do frio, porto, distribuidora de medicamento, sistema de pagamento, gestão de água. Setores que não estavam na primeira linha de defesa porque nunca se viram como alvo tecnológico.

E tem um agravante: essas empresas costumam ter tecnologia mais antiga, orçamento de segurança menor e sistemas operacionais conectados de forma improvisada à rede administrativa. Elas não investiram em segurança na mesma proporção que banco e nuvem, porque durante décadas não precisaram.

O segundo ataque da semana mostra o outro caminho: entrar pelo fornecedor

Na mesma janela, pesquisadores documentaram uma campanha ligada à Coreia do Norte que comprometeu fornecedores sul-coreanos de software de colaboração e usou esses fornecedores como porta de entrada nas redes dos clientes.

A campanha foi atribuída ao Kimsuky, também conhecido como APT43, grupo de ciberespionagem com histórico de atacar órgãos de governo, organizações de defesa, pesquisadores e empresas ligadas a assuntos coreanos.

Num dos casos, os atacantes exploraram uma vulnerabilidade de execução remota de código num servidor de e-mail exposto na internet. Em outro, o fornecedor foi comprometido depois que um funcionário caiu em engenharia social. Uma vez dentro, instalaram ferramentas de acesso remoto e o malware Gomir, se moveram lateralmente e coletaram informação sobre os servidores dos clientes.

Essa é a matemática que faz ataque de cadeia de suprimento ser tão atraente: comprometer uma empresa dá acesso potencial a centenas. E o fornecedor regional de software, que atende governo e grande empresa mas não tem o orçamento de segurança de uma big tech, é o elo mais fraco com a melhor relação custo-benefício pro atacante.

A lição prática: seu fornecedor de software é superfície de ataque sua

Junte as duas histórias e o recado fica claro. Não adianta blindar sua rede se o sistema que você instalou dentro dela vem de um fornecedor que não se blindou.

O que dá pra fazer, na prática, sem virar empresa de segurança:

1. Segmente a rede de verdade. Sistema administrativo e sistema operacional (o que controla armazém, temperatura, produção) não podem estar na mesma rede plana. Se o atacante entra pelo e-mail e chega no controle de temperatura, você não tem rede, tem um cômodo grande.
2. Trate integração de fornecedor como acesso privilegiado. Aquela conexão do sistema do parceiro que alguém abriu em 2019 e ninguém revisou é a porta favorita. Faça inventário de toda integração ativa e mate as que ninguém usa.
3. Exija do fornecedor o mínimo por contrato. Prazo pra notificar incidente, autenticação multifator obrigatória no acesso, e o direito de auditar. Sem isso escrito, você descobre o problema pelo jornal.
4. Teste a recuperação, não o backup. Quase toda empresa tem backup. Poucas já cronometraram quanto tempo leva pra voltar operando de verdade. Esse número é o que decide se você paga o resgate.
5. Escreva o plano manual. Se o sistema cair hoje, como o armazém opera no papel por 72 horas? Se a resposta é “não opera”, o resgate já está praticamente pago.
6. Corrija o que está exposto na internet primeiro. Servidor de e-mail e portal de acesso remoto são a entrada mais usada. Prioridade sobre qualquer outra correção.

Por que isso deveria assustar mais o Brasil do que assusta

A gente tem exatamente o mesmo perfil de exposição, e com menos gente olhando.

Nossa cadeia do frio é enorme e concentrada em poucos operadores. Frigorífico, distribuidora de alimento, atacadista e, principalmente, a rede de distribuição de imunobiológicos do SUS. Vacina é o produto mais dependente de cadeia do frio que existe, e a rede de frio do sistema público de saúde é operada por estados e municípios com maturidade de segurança muito desigual.

Some a isso três coisas. O Brasil está sistematicamente entre os países mais atacados por ransomware da América Latina. Boa parte do nosso setor de logística e saúde roda sistema legado com integração improvisada. E a exigência de notificação de incidente à ANPD, prevista na LGPD, ainda é tratada por muita empresa como formalidade e não como gatilho de plano de resposta.

O cenário que me tira o sono não é vazamento de CPF, que já virou paisagem. É uma extorsão bem-sucedida numa operadora de logística de medicamento em janeiro, no meio de uma campanha de vacinação. O impacto não é dado exposto, é gente sem dose.

As dúvidas que sempre chegam quando um ataque para uma empresa inteira

Pagar o resgate resolve?
Frequentemente devolve o acesso, e é por isso que tanta gente paga. Mas você paga pra recuperar de quem te atacou, sem garantia de que a porta foi fechada, e financia a próxima campanha. Além disso, uma parcela relevante de quem paga é atacada de novo em menos de um ano, muitas vezes pelo mesmo grupo. Não existe resposta confortável aqui, e quem simplifica não operou nenhuma crise dessas.

Empresa de alimento tem que se preocupar com hacker mesmo?
Mais do que banco, na verdade, e por um motivo simples: banco tem regulação pesada, time grande e treinamento contínuo há décadas. Distribuidora de alimento tem margem apertada, TI enxuta e sistema que ninguém quer mexer porque “tá funcionando”. O atacante escolhe pelo caminho mais fácil, não pelo alvo mais rico.

Seguro cibernético cobre isso?
Cobre parte, e as apólices vêm ficando bem mais restritivas. É comum a cobertura ser negada quando não havia autenticação multifator, quando o backup não era testado ou quando havia vulnerabilidade conhecida e não corrigida. Ou seja: o seguro exige que você faça o dever de casa, então faça o dever de casa de qualquer jeito.

Um ataque desses pode ser patrocinado por Estado?
No caso da Nichirei, a reivindicação é de grupo de extorsão, que é crime financeiro. Já a campanha sul-coreana é atribuída a grupo ligado a Estado, com objetivo de espionagem. Os dois usam técnicas parecidas e propósitos diferentes, e pra quem é vítima o efeito imediato é o mesmo: rede comprometida.

Onde eu acho que essa história vai parar

O ransomware saiu do computador e entrou no mundo físico, e a gente ainda não tratou isso como mudança de categoria.

Enquanto o crime era roubar dado, ele era problema de TI, resolvido com orçamento de TI, discutido em reunião de TI. Quando o crime é parar a distribuição de comida de um país inteiro por dias, virou problema de infraestrutura crítica, e infraestrutura crítica não se protege com boa vontade de um analista de segurança.

O que falta é chato e conhecido: exigência mínima de segurança em contrato de fornecedor de setor essencial, obrigação de teste de recuperação, e tratamento de logística e cadeia do frio como infraestrutura crítica, do mesmo jeito que energia e telecomunicação já são.

Escuta o que eu tô falando: em algum momento nos próximos dois anos, uma dessas vai acontecer no Brasil com produto que importa de verdade, e a discussão sobre regular segurança de fornecedor essencial vai começar do zero, com pressa e mal feita, como sempre. Dá pra começar antes. Custa uma fração e ninguém ganha eleição com isso, que é exatamente por que não vai ser feito.

Sua empresa já cronometrou quanto tempo leva pra voltar a operar se o sistema principal cair hoje? Se você não sabe o número, esse é o trabalho da semana.

Anatomia de um ataque desses, do primeiro clique até a parada total

Vale entender a sequência, porque ela é surpreendentemente parecida em quase todos os casos e mostra onde dá pra interromper.

1. Entrada. Quase sempre por três portas: e-mail de engenharia social bem feito, credencial vazada reutilizada em acesso remoto, ou vulnerabilidade conhecida em serviço exposto na internet. Nada sofisticado. O sofisticado vem depois.
2. Reconhecimento silencioso. O atacante fica dias ou semanas mapeando a rede sem fazer barulho. Descobre onde estão os backups, quais servidores são críticos e qual conta tem privilégio de administrador de domínio. Essa fase é a mais longa e é a única janela real de detecção.
3. Escalada de privilégio. Consegue conta administrativa. A partir daqui, tudo o que a TI pode fazer, ele pode fazer.
4. Destruição de backup. Esse é o passo que separa incidente de catástrofe. Backup conectado na mesma rede, com a mesma credencial, é apagado antes da criptografia começar. É por isso que backup imutável e offline não é luxo.
5. Exfiltração. Copia dado pra fora, pra ter a segunda alavanca de extorsão caso a empresa consiga restaurar.
6. Detonação. Criptografa tudo de uma vez, normalmente de madrugada, de sexta pra sábado ou em véspera de feriado. Não é coincidência: é pra maximizar o tempo até alguém perceber.

Repara que a única fase rápida é a última. Todo o resto leva tempo, e tempo é oportunidade de detecção. Empresa que monitora comportamento anômalo de conta administrativa pega o ataque na fase 2 ou 3. Empresa que só tem antivírus descobre na fase 6, junto com todo mundo.

Os números que a diretoria precisa ver pra liberar orçamento

Se você trabalha com isso e precisa convencer quem assina, os argumentos que funcionam não são técnicos:

• Tempo médio de parada. Recuperação completa de ransomware em empresa de médio porte costuma levar semanas, não dias. Multiplique o faturamento diário pelo número de dias e você tem o número que convence.
• Custo do produto perdido. Em cadeia do frio, isso é linha própria e é enorme. Estoque refrigerado parado sem sistema de rastreio vira descarte por precaução, mesmo que a temperatura tenha se mantido.
• Multa contratual com cliente. Contrato de logística tem cláusula de nível de serviço. Parada longa aciona multa de todos os clientes ao mesmo tempo.
• Notificação à ANPD e à base de titulares. Se houve exfiltração de dado pessoal, a LGPD exige comunicação. O custo aqui não é a multa, é a exposição pública e a perda de contrato que vem depois.
• Aumento do prêmio de seguro. Depois de um incidente, a renovação de apólice fica proibitiva ou vem com exclusão que esvazia a cobertura.

Junte isso e o investimento em segmentação de rede, autenticação multifator e backup imutável, que parecia caro, vira barato numa planilha. É a mesma matemática de seguro: ninguém acha caro depois.

O que fazer nas primeiras 24 horas se acontecer com você

Guarda essa lista, porque na hora ninguém pensa direito:

1. Isole, não desligue. Tirar da rede preserva evidência. Desligar servidor apaga memória volátil que a perícia precisa e pode piorar a corrupção de dado.
2. Não pague nada nas primeiras horas. Decisão de pagamento sob pânico é sempre pior. Você ainda não sabe o tamanho do estrago nem se o backup serve.
3. Acione jurídico e comunicação junto com a TI. Prazo de notificação regulatória corre a partir do conhecimento do incidente, não a partir da conclusão da investigação.
4. Assuma que a credencial de todo mundo vazou. Rotação geral de senha e de chave de API, incluindo integrações com fornecedor e cliente.
5. Comunique cliente antes de ele descobrir por terceiro. Empresa que avisa mantém contrato. Empresa que esconde e é descoberta perde.
6. Ligue o plano manual. Se você tem procedimento em papel pra operar 72 horas, é agora. Se não tem, escreva depois, porque essa foi a lição mais cara do episódio.

Fontes

• Dark Reading, ataque à Nichirei e a cadeia do frio japonesa
• The Record, campanha do Kimsuky contra fornecedores sul-coreanos
• Tech Startups, resumo dos ataques de 23 de julho de 2026

ESCRITO PELA IA. REVISADO POR HUMANOS.