Uma nova investigação da Team82, a equipa de investigação de ameaças da Claroty, revela que uma fatia significativa dos sistemas físicos que mantêm os data centers em funcionamento está muito mais acessível a atacantes do que se pensava. Segundo o relatório, que analisou mais de 750 mil ativos ciber-físicos nas maiores instalações do mundo, quase 1 em cada 5 está a “um salto” de sistemas que estabelecem ligações de saída para a internet, criando um caminho direto para os atacantes chegarem a equipamentos críticos.
Resposta rápida: A Claroty analisou mais de 750 mil ativos ciber-físicos em grandes data centers e concluiu que cerca de 18% estão a apenas um passo de sistemas ligados à internet. Unidades de distribuição de energia (41%) e sistemas de arrefecimento (32%) são os mais expostos, e 23% dos dispositivos IoT contêm vulnerabilidades já exploradas. Operadores e PME que dependem destas infraestruturas devem mapear caminhos de ataque internos, segmentar redes e isolar sistemas legados.
O problema do “um salto” de distância
O conceito central do relatório é a chamada exposição a “um salto” (one hop). Muitos sistemas operacionais podem não estar diretamente expostos à internet pública, mas um atacante que comprometa um dispositivo ligado à rede pode mover-se lateralmente e alcançar sistemas que controlam eletricidade, arrefecimento ou automação do edifício. Por outras palavras, não é preciso que o equipamento crítico esteja diretamente na internet: basta que esteja a uma ligação de distância de algo que esteja.
A Team82 analisou mais de 750 mil ativos ciber-físicos nas maiores instalações do mundo e concluiu que quase 1 em cada 5 (cerca de 18%) está a um salto de sistemas que fazem ligações de saída, o que pode oferecer aos atacantes um caminho para ativos expostos do data center.
Isto importa porque, como sublinha a investigação, os data centers dependem de tecnologia operacional muitas vezes concebida para fiabilidade e continuidade e não para a defesa cibernética moderna. À medida que os operadores expandem instalações para dar resposta à procura de serviços cloud e cargas de trabalho de inteligência artificial, estes sistemas mais antigos passam a fazer parte de ambientes maiores e mais interligados.
Energia e arrefecimento no centro da exposição
Nem todos os subsistemas apresentam o mesmo nível de risco. A investigação identificou a energia e o arrefecimento como as áreas mais expostas do parque operacional. As unidades de distribuição de energia (PDU) tiveram a maior percentagem de ativos diretamente expostos ou a um salto de uma ligação de risco à internet pública, com 41%, seguidas dos sistemas de AVAC e arrefecimento, com 32%.
A consequência prática é preocupante. Como as PDU distribuem energia fisicamente e diretamente para os racks de servidores individuais, um atacante que ultrapasse o perímetro exterior pode saltar para a camada de PDU para desligar energia, encerrar abruptamente racks ou causar danos sistémicos no hardware em milhares de cargas de clientes. No caso do arrefecimento, o risco é igualmente material: cerca de um terço dos sistemas de AVAC e arrefecimento, que representam quase metade do consumo de eletricidade de um data center, estava a um salto de sistemas expostos à internet.
Protocolos legados e firmware desatualizado
Para além da acessibilidade, o relatório aponta para fragilidades estruturais na forma como estes equipamentos comunicam. Os sistemas de gestão predial (BMS) surgem como uma das maiores áreas problemáticas: 88% estão expostos por comunicarem através de protocolos inseguros e 40% contêm firmware desatualizado.
O padrão repete-se noutras categorias. Mais de 80% dos sistemas de controlo OT, monitorização de energia e sistemas IoT comunicam através de protocolos legados e inseguros, como o BACnet e o MODBUS. No caso específico da monitorização de energia, 82% dos dispositivos usavam protocolos inseguros, principalmente MODBUS, enquanto 59% executavam firmware desatualizado.
Vulnerabilidades já exploradas dentro das instalações
O elemento mais alarmante é a presença de falhas que os atacantes já usaram noutros contextos. Cerca de 23% dos dispositivos IoT em data centers continham vulnerabilidades conhecidas e ativamente exploradas (KEV), ou seja, falhas publicamente identificadas que atacantes já utilizaram noutros ambientes.
A combinação destes fatores — acessibilidade lateral e falhas por corrigir — é o que torna o cenário perigoso. Segundo a Claroty, qualquer salto lateral para estes dispositivos KEV não corrigidos dá ao atacante a capacidade de desencadear exploits que poderiam efetivamente colocar um data center offline sem sequer tocar num único servidor. A investigação nota ainda que os sistemas de energia dentro dos data centers, incluindo a monitorização de energia e os UPS, continham o maior número de KEV entre os ativos de infraestrutura.
| Categoria de ativo | Indicador de exposição |
|---|---|
| Unidades de distribuição de energia (PDU) | 41% diretamente expostas ou a um salto de ligação de risco |
| AVAC / arrefecimento | 32% diretamente expostos ou a um salto |
| Sistemas de gestão predial (BMS) | 88% com protocolos inseguros; 40% com firmware desatualizado |
| Monitorização de energia | 82% com protocolos inseguros; 59% com firmware desatualizado |
| Dispositivos IoT | 23% contêm vulnerabilidades já exploradas (KEV) |
| Total de ativos analisados | ~18% a “um salto” de sistemas ligados à internet |
Data centers como infraestrutura crítica
O relatório insere-se num debate crescente sobre o estatuto destas instalações. Os dados reforçam a discussão sobre se os data centers devem ser tratados de forma mais explícita como infraestrutura crítica, uma vez que o seu papel se expandiu para além de alojar servidores e passaram a sustentar plataformas cloud, serviços públicos, sistemas de logística, redes bancárias e um leque cada vez maior de aplicações de inteligência artificial.
O responsável máximo da equipa de investigação da Claroty resumiu a mudança de paradigma. Amir Preminger, CTO e responsável da Team82, afirmou que “os data centers evoluíram para infraestrutura crítica a nível global, e tal como as empresas de eletricidade ou os transportes, os agentes de ameaça verão o elevado valor em perturbar as suas operações”.
O que fazer: recomendações de mitigação
A abordagem defendida pela investigação assenta em pilares programáticos de proteção de sistemas ciber-físicos. A Claroty recomenda quatro linhas de ação aos operadores: gestão contínua de exposição para mapear caminhos de ataque internos, segmentação de rede de confiança zero para restringir o movimento lateral, endurecimento dos sistemas de gestão predial para isolar ativos legados, e deteção de ameaças com conhecimento de protocolo para monitorização contínua.
- Inventariar todos os ativos OT e IoT e identificar quais estão a “um salto” de sistemas com ligações de saída.
- Priorizar a correção de dispositivos com KEV, sobretudo em PDU, UPS e monitorização de energia.
- Segmentar redes e aplicar princípios de confiança zero para limitar o movimento lateral.
- Substituir ou proteger protocolos inseguros como
BACneteMODBUSe atualizar firmware desatualizado.
Porque é que isto importa em Portugal
Portugal tem visto um aumento no investimento em data centers, o que torna estas conclusões particularmente relevantes para operadores nacionais, PME que dependem de serviços cloud e organizações abrangidas por regulação de cibersegurança. Com a entrada em vigor do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), muitas entidades que operam ou dependem de infraestruturas digitais passam a estar sujeitas a obrigações reforçadas de gestão de risco, notificação de incidentes e medidas técnicas — obrigações que abrangem também a tecnologia operacional e os sistemas ciber-físicos, e não apenas os servidores e as redes IT tradicionais.
O CNCS e o CERT.PT recomendam há muito a segmentação de redes, a gestão de vulnerabilidades e a visibilidade completa sobre os ativos como pilares de resiliência. Para as organizações que processam dados pessoais, uma interrupção de serviço ou um comprometimento destas infraestruturas pode ainda ter implicações ao nível do RGPD, nomeadamente em termos de disponibilidade e integridade dos dados e da eventual obrigação de notificação à CNPD em caso de violação. A mensagem central do relatório é clara: a segurança de um data center já não se mede apenas pela proteção dos servidores, mas também pela camada física e operacional que os mantém a funcionar.
Perguntas frequentes
O que significa um ativo estar a “um salto” dos atacantes?
Significa que o equipamento não está diretamente na internet, mas está ligado a um dispositivo que faz ligações de saída para a internet. Basta um atacante comprometer esse dispositivo intermédio para alcançar, por movimento lateral, sistemas críticos de energia ou arrefecimento.
Que sistemas são os mais expostos segundo a Claroty?
As unidades de distribuição de energia (PDU) são as mais expostas, com 41% dos ativos diretamente acessíveis ou a um salto de uma ligação de risco, seguidas dos sistemas de AVAC e arrefecimento, com 32%. Os sistemas de gestão predial também apresentam elevada fragilidade nos protocolos e no firmware.
O que são KEV e porque preocupam neste contexto?
KEV são vulnerabilidades conhecidas e ativamente exploradas, ou seja, falhas que atacantes já usaram noutros ataques. O relatório indica que 23% dos dispositivos IoT em data centers as contêm, o que aumenta significativamente o risco de um ataque conseguir interromper operações.
Como reduzir este risco numa organização?
As recomendações passam por mapear continuamente os caminhos de ataque internos, aplicar segmentação de rede e confiança zero para travar o movimento lateral, isolar e endurecer sistemas legados, e monitorizar o tráfego com deteção que compreenda os protocolos industriais utilizados.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Claroty (Team82), no relatório “State of CPS Security: Data Center Exposures”, e em comunicados associados.