Caso revelado pelo The Guardian expõe vulnerabilidades de pequenos geradores e amplia debate sobre segurança de ativos conectados às infraestruturas críticas
Um ataque cibernético que deixou uma pequena usina de geração de energia a gás fora de operação por aproximadamente quatro dias no Reino Unido colocou em evidência um problema que tende a crescer à medida que sistemas energéticos incorporam milhares de equipamentos conectados: como garantir segurança cibernética não apenas das grandes usinas, mas de toda a infraestrutura digital distribuída que participa da geração, distribuição, medição e controle da energia.
O caso foi revelado pelo The Guardian em 27 de agosto de 2026. Segundo o jornal britânico, o incidente ocorreu em julho e teria envolvido hackers ligados ao Irã. O governo britânico confirmou a ocorrência de um incidente envolvendo um pequeno gerador, mas não confirmou publicamente a atribuição ao Irã nem revelou a instalação atingida.
O episódio não causou interrupção do fornecimento aos consumidores nem colocou em risco a rede elétrica nacional, segundo as informações oficiais citadas pelo jornal. O que chamou a atenção, entretanto, foi a diferença entre os requisitos de segurança aplicáveis aos grandes operadores e aqueles que alcançam ativos menores do sistema energético.
Brasileiro ouvido pelo The Guardian alerta para o risco dos ativos distribuídos
Entre os especialistas ouvidos pelo The Guardian está o brasileiro Rafael Narezzi, CEO da Centrii e especialista em segurança cibernética para o setor de energia.
Ao jornal britânico, Narezzi defendeu que o episódio seja encarado como um alerta antes que ocorra um incidente de maiores proporções.
“We should use it as a warning rather than wait for an incident.”
Em tradução livre: “Devemos usar isso como um alerta, em vez de esperar por um incidente.”
Rafael Narezzi descreveu ao The Guardian um sistema energético composto por ativos de geração pequenos, médios e grandes, progressivamente conectados por sistemas digitais, acessos remotos, fornecedores terceiros e tecnologia operacional.
Para o especialista, o tamanho de uma instalação não determina necessariamente sua atratividade para um atacante.
“Attackers do not necessarily select their targets according to how many megawatts they generate. They look for vulnerabilities, trusted access and opportunities.”
Em tradução livre: “Os atacantes não necessariamente selecionam seus alvos de acordo com quantos megawatts eles geram. Eles procuram vulnerabilidades, acessos confiáveis e oportunidades.”
Narezzi também chamou a atenção para o efeito coletivo dos milhares de ativos distribuídos existentes no Reino Unido.
Individualmente, muitos podem representar uma pequena parcela da capacidade do sistema. Em conjunto, sua resiliência torna-se relevante para a segurança da infraestrutura energética.
O alerta muda a perspectiva tradicional da proteção de infraestruturas críticas: não basta olhar para o tamanho físico ou para a capacidade individual de um ativo.
É preciso observar sua conectividade, seus acessos e as relações de confiança estabelecidas com o restante do sistema.
Reino Unido reconhece que atual regulamentação não alcança todo o sistema
A preocupação levantada pelo episódio já aparece na política pública britânica.
A Energy Sector Cyber Security Strategy, publicada em maio de 2026 pelo governo do Reino Unido, reconhece que as atuais Network and Information Systems Regulations 2018 (NIS Regulations) foram concebidas para os operadores considerados mais críticos e, por isso, não oferecem cobertura integral do sistema energético.
Em agosto de 2026, o governo publicou também sua resposta a uma consulta realizada conjuntamente com a Ofgem sobre a reformulação da regulamentação cibernética do setor de gás e eletricidade.
A decisão foi avançar em duas frentes: rever a aplicabilidade das NIS Regulations e desenvolver requisitos básicos de resiliência cibernética para todos os licenciados da Ofgem.
A intenção é estabelecer um patamar mínimo comum de proteção para uma infraestrutura energética que se tornou mais descentralizada, digital e interdependente.
O cronograma oficial prevê o desenvolvimento de propostas de requisitos mínimos até o final de 2027 e estabelece como objetivo chegar ao final de 2030 com uma base de resiliência cibernética implementada de maneira mais ampla no sistema.
O ataque relatado pelo The Guardian torna esse intervalo particularmente relevante.
As vulnerabilidades podem vir com maior força da transformação de uma infraestrutura predominantemente física em uma infraestrutura também digital, formada por milhões de dispositivos capazes de medir, comunicar informações e, dependendo da arquitetura e das funcionalidades habilitadas, receber comandos remotos.
A lacuna apontada pelo The Guardian está relacionada à abrangência dos requisitos de resiliência cibernética sobre diferentes operadores e ativos que integram o sistema energético. Essa distinção é fundamental.
Ao mesmo tempo, o Reino Unido vem ampliando a discussão regulatória justamente porque gerenciamento remoto, automação e concentração de comandos digitais podem transformar ativos distribuídos em uma questão sistêmica de segurança.
Conectividade muda a dimensão do risco
Essa transformação é acompanhada no Brasil por Alexandre Siffert Colares, Managing Director da CERMOB, empresa brasileira especializada em segurança criptográfica, certificação digital e arquiteturas de confiança aplicadas, entre outros ambientes, a dispositivos de Internet das Coisas (IoT) utilizados em infraestruturas críticas.
A CERMOB atua no desenvolvimento de mecanismos destinados a estabelecer identidade digital para dispositivos e proteger criptograficamente dados e comandos desde sua origem.
A abordagem já é aplicada pela empresa a equipamentos relacionados a energia, água, gás e medição de combustíveis. Para Siffert, o debate britânico ajuda a colocar em perspectiva uma mudança que vai muito além do setor de energia.
“Quando conectamos equipamentos que participam da operação de uma infraestrutura crítica, a superfície de risco muda de dimensão. Isso acontece no setor de energia e em outros serviços essenciais. Cada equipamento conectado passa a ser um ponto que precisa ter identidade, autenticação e mecanismos capazes de garantir a integridade dos dados e dos comandos.”
Na avaliação proposta para Siffert, o desafio aumenta à medida que esses equipamentos passam a integrar sistemas capazes de trocar informações e executar operações remotamente.
“Não podemos pensar apenas na proteção do sistema central. A confiança precisa começar no dispositivo. Se milhões de equipamentos estão conectados, é necessário saber criptograficamente quem está gerando determinado dado, se essa informação foi alterada durante o percurso e se um comando recebido pelo equipamento realmente veio de uma fonte autorizada. Em uma infraestrutura crítica, identidade digital e integridade do dado passam a fazer parte da própria segurança operacional.”
Brasil acaba de concluir consulta pública sobre requisitos técnicos no setor de energia elétrica
A discussão ocorre em um momento particularmente importante para o Brasil.
Em 14 de agosto de 2026, a Agência Nacional de Energia Elétrica (ANEEL) encerrou a segunda fase da Consulta Pública nº 1/2026, aberta para receber contribuições sobre os requisitos mínimos dos sistemas de medição inteligente utilizados no faturamento dos consumidores de baixa tensão.
A proposta em discussão define o sistema de medição inteligente não apenas como o medidor instalado no imóvel, mas como uma solução formada por quatro componentes integrados: medidor, interface de comunicação com o consumidor, sistema de comunicação de dados e sistema de gestão de dados.
Entre os assuntos expressamente colocados pela ANEEL para discussão estavam os requisitos mínimos dos sistemas, disponibilização de dados ao consumidor, funcionalidades para novas modalidades de faturamento e eventuais ajustes relacionados à segurança cibernética, interoperabilidade e qualidade das informações.
O regulador brasileiro está, portanto, discutindo justamente a arquitetura de uma infraestrutura que ganhará escala nos próximos anos.
Portaria do MME já exige segurança cibernética e comunicação com AMI
O processo regulatório da ANEEL decorre de uma política mais ampla de digitalização da distribuição de energia.
Em janeiro de 2026, o Ministério de Minas e Energia publicou a Portaria Normativa MME nº 126/2026, que estabeleceu diretrizes para acelerar a implantação dos sistemas de medição inteligente no país.
A norma determina uma série de funcionalidades mínimas. Entre elas estão leitura remota, corte e religamento remotos quando aplicáveis, registro de interrupções, alarme antifraude, gestão do consumo pelo consumidor e, expressamente, mecanismos de segurança cibernética e de interoperabilidade.
A portaria também determina a comunicação remota por interface com o sistema de medição Advanced Metering Infrastructure (AMI), ou Infraestrutura de Medição Avançada.
Com o encerramento da segunda fase da Consulta Pública nº 1/2026 em 14 de agosto, a ANEEL entra agora na etapa de análise das contribuições recebidas.
A proposta submetida à sociedade prevê alterações nos Procedimentos de Distribuição de Energia Elétrica no Sistema Elétrico Nacional (PRODIST) e na Resolução Normativa ANEEL nº 1.000/2021.
Somente depois da avaliação das contribuições e da deliberação da Diretoria da Agência será possível conhecer o texto regulatório definitivo. Portanto, neste momento, não é correto tratar todos os requisitos submetidos à consulta como regras finais já aprovadas pela ANEEL.
Há, contudo, requisitos que já decorrem da Portaria Normativa MME nº 126/2026, entre eles segurança cibernética, interoperabilidade e comunicação remota com a infraestrutura AMI.
Além disso, o setor elétrico brasileiro já possui uma política específica de segurança cibernética. A Resolução Normativa ANEEL nº 964/2021 determina que agentes do setor estabeleçam políticas destinadas a prevenir, mitigar e recuperar incidentes cibernéticos que possam comprometer suas redes de informações críticas ou instalações.
Do Reino Unido ao Brasil, o problema passa a ser a escala da conexão
Os dois países estão em estágios e contextos regulatórios diferentes e não devem ser comparados como se possuíssem a mesma arquitetura energética ou as mesmas regras.
Mas existe uma questão tecnológica comum.
Quanto mais a infraestrutura física incorpora comunicação digital, automação e capacidade de operação remota, maior se torna a necessidade de garantir a identidade dos dispositivos, a autenticidade dos comandos e a integridade das informações que circulam entre eles.
Uma pequena usina pode representar poucos megawatts. Um único medidor inteligente representa uma parcela insignificante do sistema elétrico. Mas milhares de geradores distribuídos e milhões de dispositivos conectados formam uma superfície digital cuja segurança precisa ser considerada coletivamente.
É exatamente essa mudança que a declaração de Rafael Narezzi ao The Guardian sintetiza: o atacante não precisa procurar o maior ativo. Pode procurar a vulnerabilidade, o acesso confiável ou a oportunidade.
No Reino Unido, um ataque contra uma pequena usina voltou a colocar essa discussão na agenda.
No Brasil, a discussão ocorre enquanto o país começa a definir como será construída uma infraestrutura de equipamentos inteligentes que deverá conectar milhões de novos dispositivos.
O desafio não será apenas torná-los inteligentes.
Será garantir que possam ser considerados confiáveis.
Fontes públicas para construção dessa matéria: The Guardian, “UK’s small power plants face higher cyber risk into 2030s despite Iran-linked hack”, 27 de agosto de 2026. Governo do Reino Unido, Energy Sector Cyber Security Strategy, maio de 2026.
Department for Energy Security and Net Zero e Ofgem, Whole energy cyber resilience requirements: reshaping cyber regulation in downstream gas and electricity, resposta governamental publicada em 5 de agosto de 2026. Agência Nacional de Energia Elétrica (ANEEL), “Medidores de energia elétrica: ANEEL abre segunda fase da consulta pública”, 3 de julho de 2026. Ministério de Minas e Energia, Portaria Normativa MME nº 126, de 28 de janeiro de 2026. Agência gência Nacional de Energia Elétrica, Resolução Normativa ANEEL nº 964/2021 e página institucional sobre Segurança Cibernética.
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
Inteligência Editorial que Orienta Cenários
Temos como propósito apresentar informações completas, contextualizadas e tecnicamente relevantes. Nosso compromisso é produzir conteúdos que ajudem efetivamente nossos leitores a tomar decisões, especialmente nos mercados brasileiro e latino-americano. E há ainda um resultado que confirma essa estratégia: a audiência expressiva que conquistamos também entre as plataformas e os mecanismos de busca baseados em inteligência artificial.
Faça parte desse contexto! contato@cryptoid.com.br
