FSB é responsabilizado por ataque à rede elétrica da Polônia; UE e Reino Unido impõem primeiras sanções cibernéticas coordenadas
A União Europeia e o Reino Unido atribuíram oficialmente ao Centro 16 do Serviço Federal de Segurança da Rússia (FSB) uma operação de sabotagem digital contra o sistema de energia da Polônia. O ataque, realizado em 29 de dezembro de 2025, quase levou à interrupção do fornecimento de eletricidade para aproximadamente 500 mil pessoas em pleno inverno europeu, quando a demanda por aquecimento atinge níveis críticos.
O anúncio da responsabilização foi feito em 13 de julho de 2026, acompanhado do primeiro pacote de sanções especificamente voltadas para atividades cibernéticas, adotado de forma conjunta por Bruxelas e Londres. As medidas miram integrantes de serviços de inteligência russos, operadores de malware, empresas privadas, grupos de hackers e entidades acusadas de sustentar ou apoiar as ambições estratégicas do governo russo no ciberespaço.
De acordo com a União Europeia, o chamado Centro 16 funciona como o braço de inteligência de sinais do FSB e coordena diversos grupos de ameaça, entre eles o Turla, também conhecido como Snake e Venomous Bear. Essa unidade é apontada como responsável por operações sistemáticas de espionagem, intrusão em redes governamentais e tentativas de sabotagem contra infraestruturas críticas em vários países.
As ações atribuídas ao ecossistema cibernético vinculado ao FSB e a outros órgãos de segurança russos teriam, nos últimos anos, atingido França, Alemanha, Polônia, Chipre, Países Baixos, Áustria, Eslováquia, Romênia e Finlândia, além da Ucrânia e de outros parceiros europeus. Em muitos casos, os alvos foram serviços públicos sensíveis, como energia, água, transportes e comunicações, elevando o risco de impactos diretos à população.
Em declaração oficial, a chefe da diplomacia europeia, Kaja Kallas, afirmou que os países do bloco “condenam de forma categórica o comportamento da Rússia e o uso instrumental desse ecossistema cibernético contra serviços públicos e infraestruturas críticas, provocando interrupções, perdas econômicas consideráveis e colocando em risco a segurança dos cidadãos”.
Ataque visou paralisar infraestrutura energética polonesa
O incidente na Polônia consistiu em uma série de ataques coordenados contra instalações do setor energético, incluindo sistemas de geração distribuída e uma usina de cogeração, responsável por produzir eletricidade e calor de forma integrada. A investigação técnica conduzida pelo CERT Polska revelou ações com claro potencial destrutivo, voltadas a interromper operações e dificultar a retomada do serviço.
Em diversos ambientes comprometidos, os invasores localizaram equipamentos industriais da fabricante Moxa com interfaces administrativas expostas à internet e credenciais padrão não alteradas. Explorando essas falhas básicas de segurança, os atacantes restauraram dispositivos às configurações de fábrica, redefiniram senhas e atribuíram endereços IP inválidos, o que tornaria mais lenta e complexa qualquer tentativa de recuperação operacional após o ataque.
Em uma das instalações energéticas afetadas, o objetivo teria ido além da simples interrupção temporária. Segundo o relatório técnico, os responsáveis buscaram causar destruição irreversível de dados armazenados na rede interna por meio de um malware do tipo wiper. Diferentemente dos ransomwares, que geralmente criptografam arquivos e exigem resgate financeiro, os wipers são projetados para apagar ou corromper informações de forma definitiva, inutilizando sistemas e backups.
A operação não foi improvisada. Antes do disparo do código destrutivo, houve um período prolongado de presença clandestina na infraestrutura atacada, dedicado à coleta de informações confidenciais e ao mapeamento detalhado da rede. Durante essa fase, os hackers conseguiram comprometer contas privilegiadas no Active Directory, o que lhes garantiu ampla liberdade de movimentação lateral entre diferentes segmentos da organização.
O wiper foi distribuído utilizando Group Policy Objects (GPOs), um mecanismo legítimo da plataforma Windows que administradores de TI empregam para aplicar configurações e executar tarefas em massa em computadores pertencentes a um mesmo domínio. Ao explorar essa ferramenta corporativa para fins maliciosos, os invasores maximizaram a velocidade e o alcance potencial da destruição de dados.
Apesar da sofisticação da ofensiva, a organização atingida havia implantado uma solução de EDR (Endpoint Detection and Response), que identificou padrões suspeitos e bloqueou o carregamento completo do código destrutivo. A intervenção automatizada do EDR interrompeu a cadeia de ataque antes que o wiper pudesse concluir a fase de apagamento em larga escala, evitando danos muito mais severos à infraestrutura energética.
Disputa inicial sobre autoria do ataque
As primeiras análises feitas por empresas de cibersegurança associaram o incidente ao grupo Sandworm, tradicionalmente vinculado ao serviço de inteligência militar da Rússia (GRU). O Sandworm é conhecido por operações altamente destrutivas contra infraestrutura crítica, incluindo ataques anteriores às redes elétricas da Ucrânia, o que, à primeira vista, parecia compatível com o perfil da ofensiva observada na Polônia.
No entanto, técnicos do CERT Polska passaram a questionar essa atribuição inicial após uma avaliação aprofundada da infraestrutura de comando e controle utilizada na invasão. Os investigadores rastrearam conexões com um conjunto de servidores e com padrões operacionais que, em incidentes anteriores, já haviam sido ligados ao FSB e, em particular, ao Centro 16. Essa conclusão acabou sustentando a decisão política da União Europeia e do Reino Unido de responsabilizar oficialmente o serviço de segurança russo.
Especialistas lembram que a atribuição de ataques cibernéticos é um processo complexo, que combina diversos elementos: indicadores técnicos presentes nos malwares, infraestrutura de comando e controle, táticas e procedimentos utilizados, histórico conhecido dos grupos, dados de inteligência e, por fim, a coerência com os interesses estratégicos de cada país. Como diferentes unidades estatais russas podem compartilhar ferramentas, infraestruturas ou até prestadores de serviço, não é incomum que as primeiras avaliações sejam posteriormente revistas.
Além do setor energético, o serviço de inteligência interna da Polônia informou que havia detecção de invasões contra instalações de tratamento de água. Esses incidentes teriam gerado risco concreto à continuidade do abastecimento, reforçando a percepção de que a campanha não se restringia a uma única empresa ou segmento, mas fazia parte de um esforço mais amplo de pressão e desestabilização do país.
Reação europeia e aprofundamento das medidas
O impacto político dos ataques levou vários governos europeus a endurecer o discurso contra Moscou. A França anunciou medidas adicionais de proteção e revelou que convocaria o embaixador russo para prestar esclarecimentos sobre a persistência de atividades de espionagem cibernética em território francês, atribuídas ao mesmo Centro 16 do FSB.
Um relatório do Centro de Coordenação de Crises Cibernéticas da França (C4) detalhou uma série de operações de intrusão, coleta de dados e movimentos laterais em redes governamentais e de grandes empresas europeias, com foco em setores estratégicos, como energia, defesa, transporte e telecomunicações. O documento descreve um padrão de atuação de longo prazo, baseado em infiltração silenciosa e manutenção de acesso persistente, pronto para ser explorado em cenários de crise.
As novas sanções definidas pela UE e pelo Reino Unido incluem congelamento de ativos, proibição de viagens e restrições financeiras para indivíduos e organizações identificados como parte da engrenagem cibernética do Estado russo. Embora essas medidas não interrompam diretamente as operações no curto prazo, diplomatas europeus argumentam que elas aumentam o custo político e econômico da continuidade dessas campanhas.
Especialistas em relações internacionais destacam que esse é um passo importante na tentativa de estabelecer linhas vermelhas mais claras para o comportamento dos Estados no ciberespaço. Ao tratar ataques a infraestruturas críticas como uma questão de segurança coletiva e responder com sanções coordenadas, a UE e o Reino Unido buscam sinalizar que invasões com potencial de causar danos físicos à população não serão encaradas como simples incidentes técnicos.
Risco sistêmico para redes elétricas e infraestruturas críticas
O ataque à rede energética da Polônia expôs, de forma concreta, o nível de vulnerabilidade de infraestruturas industriais conectadas. Muitos dos equipamentos utilizados em sistemas de geração, transmissão e distribuição de energia foram projetados originalmente para operar em ambientes isolados, sem conexão direta à internet. Com a digitalização e a adoção de sistemas de monitoramento remoto, esses dispositivos passaram a ficar expostos a riscos para os quais nem sempre foram preparados.
O uso de credenciais padrão, interfaces administrativas expostas e ausência de segmentação adequada de rede aparecem, com frequência, como os pontos mais explorados por atacantes. No caso polonês, a combinação de configurações frágeis com acesso privilegiado ao Active Directory criou as condições ideais para uma operação que poderia ter resultado em blecautes prolongados e sérios impactos socioeconômicos.
Para autoridades de cibersegurança, o episódio funciona como alerta para outros países que dependem de redes elétricas altamente interconectadas e de sistemas industriais legados. A recomendação é reforçar programas de gestão de vulnerabilidades, atualizar equipamentos, segmentar redes operacionais (OT) em relação às redes corporativas (IT) e investir em monitoramento contínuo com soluções capazes de detectar comportamentos anômalos em tempo real.
Outro ponto crítico é a capacitação de equipes. Técnicos que tradicionalmente atuavam apenas na operação física de usinas e subestações agora precisam entender também os riscos cibernéticos associados a protocolos industriais e sistemas supervisórios. A integração entre times de engenharia, segurança da informação e operações passa a ser vista como essencial para reduzir a superfície de ataque.
O papel do EDR e da detecção precoce
Um dos elementos decisivos que evitaram uma interrupção em larga escala na Polônia foi a presença de uma solução de EDR em parte dos ativos críticos. Esses sistemas analisam continuamente o comportamento de endpoints, servidores e estações de trabalho, identificando padrões que fogem da operação normal. Quando bem configurados, conseguem bloquear tentativas de execução de códigos maliciosos, mesmo quando o malware ainda não é conhecido ou não possui assinatura em bases tradicionais de antivírus.
No caso do wiper utilizado no ataque, o EDR detectou ações suspeitas associadas à distribuição em massa de executáveis por meio de GPOs, além de tentativas incomuns de apagar arquivos e modificar registros de sistema. A resposta automatizada, combinada com a atuação das equipes de segurança, interrompeu o avanço do código destrutivo, dando tempo para que contramedidas adicionais fossem aplicadas.
Esse tipo de episódio reforça a importância de uma abordagem em camadas para a proteção de infraestruturas críticas. Firewalls, segmentação de rede, autenticação forte, gerenciamento de vulnerabilidades, backups confiáveis, EDR e centros de operações de segurança (SOC) atuando 24 horas compõem um ecossistema de defesa que precisa funcionar de forma coordenada. A ausência de um único desses elementos pode abrir brechas exploráveis por grupos avançados.
Implicações geopolíticas e tendência de longo prazo
A responsabilização do FSB e, em particular, do Centro 16, se encaixa em uma tendência mais ampla de militarização do ciberespaço. Estados utilizam cada vez mais campanhas digitais para projetar poder, coletar inteligência, testar as defesas de adversários e, em alguns casos, demonstrar capacidade de causar danos sem recorrer ao uso tradicional da força.
Para a Rússia, operações desse tipo funcionam como ferramenta de pressão política e técnica, especialmente em países considerados hostis ou alinhados a alianças militares como a OTAN. Já para a União Europeia, a prioridade é demonstrar que a exploração de vulnerabilidades digitais contra serviços essenciais será tratada como agressão séria, suscetível de resposta diplomática e econômica coordenada.
Analistas apontam que a tendência é de intensificação desse tipo de confronto abaixo do limiar da guerra convencional. Ataques a redes elétricas, sistemas de transporte, hospitais, companhias de saneamento e cadeias de suprimentos tendem a continuar, com diferentes autores estatais ou patrocinados por Estados. Por isso, a resiliência cibernética passou a ser tema central não apenas de ministérios de tecnologia, mas também de defesa, economia e relações exteriores.
Como países e empresas podem se preparar melhor
Diante desse cenário, governos e organizações privadas vêm sendo pressionados a revisar seus planos de continuidade de negócios e de resposta a incidentes. Entre as ações consideradas prioritárias estão: inventário completo de ativos conectados, identificação de sistemas críticos, implementação de políticas rígidas de atualização de software, adoção de autenticação multifator e revisão regular de perfis de acesso privilegiado.
No setor de energia, recomenda-se, ainda, a realização de exercícios de mesa e simulações de crise, nos quais equipes técnicas e decisores testam, na prática, como reagiriam diante de um ataque com potencial disruptivo semelhante ao ocorrido na Polônia. Esses exercícios ajudam a identificar gargalos de comunicação, dependências externas e falhas em procedimentos que, em uma situação real, poderiam significar horas adicionais de indisponibilidade de serviço.
Outro ponto fundamental é o compartilhamento de informações técnicas sobre ataques, indicadores de comprometimento e táticas observadas. Embora cada país mantenha seus próprios mecanismos de defesa, a natureza transnacional das operações cibernéticas exige cooperação entre governos, reguladores setoriais e o setor privado. Quanto mais rápida for a circulação de dados confiáveis sobre novas ameaças, maior a capacidade de prevenção coletiva.
Por fim, especialistas ressaltam a necessidade de tratar cibersegurança como investimento estratégico de longo prazo, e não como custo pontual. Em um contexto em que Estados utilizam o ciberespaço para atacar infraestrutura vital, a proteção digital deixa de ser assunto exclusivo das equipes de TI e passa a integrar o núcleo das discussões sobre soberania, segurança nacional e proteção da população. O ataque à rede elétrica da Polônia e a subsequente reação europeia ilustram, com clareza, essa mudança de paradigma.