FSB é responsabilizado por ataque à rede elétrica da Polônia, e UE e Reino Unido reagem com sanções coordenadas
A União Europeia e o Reino Unido formalizaram a acusação contra o Centro 16 do Serviço Federal de Segurança da Rússia (FSB), responsabilizando a unidade por uma operação de sabotagem digital dirigida ao setor de energia da Polônia. O ataque, realizado em dezembro de 2025, quase provocou um apagão que poderia deixar cerca de meio milhão de pessoas sem eletricidade em pleno inverno europeu, momento em que a demanda por aquecimento atinge picos críticos.
O anúncio oficial foi feito em 13 de julho de 2026, acompanhado do primeiro pacote de sanções cibernéticas coordenadas entre Bruxelas e Londres. As medidas foram desenhadas para atingir diretamente indivíduos e entidades envolvidos em operações ofensivas: agentes de inteligência, operadores de malware, empresas de tecnologia ligadas ao aparato estatal russo, grupos de hackers e organizações acusadas de apoiar os objetivos estratégicos de Moscou no ciberespaço.
De acordo com a União Europeia, o Centro 16 atua como o braço de inteligência de sinais do FSB e é apontado como responsável pelo controle de diversos grupos de ameaça, incluindo o famoso Turla, também identificado sob as denominações Snake e Venomous Bear. Essa unidade seria peça central em campanhas de espionagem, infiltração em redes governamentais e ações de sabotagem contra infraestruturas críticas em solo europeu.
As operações atribuídas ao ecossistema cibernético vinculado ao FSB e a outros órgãos russos não se limitaram à Polônia. Nos últimos anos, foram identificadas atividades maliciosas em países como França, Alemanha, Chipre, Países Baixos, Áustria, Eslováquia, Romênia e Finlândia, além de ataques reiterados contra a Ucrânia e contra organizações de parceiros europeus.
A chefe da diplomacia da União Europeia, Kaja Kallas, foi direta ao comentar o caso, denunciando o uso sistemático de capacidades digitais para pressionar governos e empresas. Segundo ela, o comportamento da Rússia, ao explorar seu “ecossistema cibernético” contra serviços públicos e infraestruturas essenciais, gera interrupções de serviços, perdas financeiras significativas e aumenta o risco para a população civil.
Ataque visou paralisar infraestrutura energética polonesa
O incidente ocorrido na Polônia em 29 de dezembro de 2025 foi caracterizado por uma série de ataques coordenados contra instalações do setor elétrico e de cogeração. A investigação técnica conduzida pelo CERT Polska revelou que parte da ofensiva foi direcionada a sistemas de geração distribuída e a uma usina de cogeração, estrutura responsável por produzir simultaneamente eletricidade e calor – componente estratégico em regiões de clima rigoroso.
Durante a análise, peritos encontraram equipamentos industriais da fabricante Moxa com interfaces administrativas expostas à internet e ainda operando com credenciais padrão de fábrica. Esse tipo de falha de configuração, comum em ambientes industriais com baixa maturidade em segurança, foi explorado pelos invasores para restaurar dispositivos às configurações originais, alterar senhas e configurar endereços IP inválidos. O resultado prático foi uma forte dificuldade de recuperação operacional, já que os equipamentos eram “expulsos” da rede legítima.
Em pelo menos uma das instalações, o objetivo dos atacantes teria sido causar danos irreparáveis aos dados armazenados na rede interna por meio de um malware do tipo wiper. Diferentemente do ransomware, que geralmente criptografa arquivos para chantagear as vítimas em troca de pagamento, o wiper tem como foco a destruição definitiva de dados e a inutilização de sistemas, buscando prolongar o impacto e aumentar o custo da recuperação.
A ofensiva não foi um ataque relâmpago. Investigações indicam que houve um período prolongado de presença clandestina na infraestrutura comprometida. Nesse intervalo, os atacantes teriam realizado reconhecimento, exfiltração de informações sensíveis e, em seguida, comprometido contas privilegiadas no Active Directory. Esse acesso ampliado possibilitou a movimentação lateral pela rede e a preparação do terreno para a etapa destrutiva da operação.
O código malicioso foi distribuído utilizando Group Policy Objects (GPOs), mecanismo legítimo do Windows empregado por administradores para aplicar políticas, scripts e configurações em massa nas máquinas de um domínio. Ao explorar essa ferramenta administrativa para espalhar o wiper, os atacantes tentaram se misturar ao tráfego normal de gestão de TI, reduzindo as chances de detecção precoce.
A ação, no entanto, foi parcialmente frustrada. A solução de EDR (Endpoint Detection and Response) em operação na organização detectou comportamento anômalo e bloqueou a execução completa do wiper antes que o malware pudesse concretizar sua tentativa de sabotagem em larga escala. Mesmo assim, o episódio expôs fragilidades críticas no ecossistema de tecnologia operacional (OT) e na integração entre TI e ambientes industriais.
Disputa inicial sobre autoria e atribuição ao FSB
Logo após a divulgação do incidente, empresas de cibersegurança associaram o ataque ao grupo Sandworm, historicamente ligado ao serviço de inteligência militar da Rússia (GRU). O Sandworm é conhecido por ataques destrutivos a infraestruturas estratégicas, incluindo episódios anteriores direcionados à rede elétrica ucraniana, o que justificava a hipótese inicial.
O CERT Polska, porém, revisou essa avaliação preliminar com base em uma análise aprofundada da infraestrutura empregada na campanha. Os especialistas encontraram vínculos mais robustos com um conjunto de servidores e padrões de operação previamente relacionados ao FSB, em especial ao Centro 16. Esses achados acabaram norteando a atribuição oficial posteriormente adotada pela União Europeia e pelo Reino Unido.
O processo de atribuição em ciberataques é complexo e raramente depende de um indicador isolado. Normalmente, envolve a correlação de evidências técnicas – como endereços IP, domínios, cadeias de malware e servidores de comando e controle – com padrões operacionais, histórico de campanhas, informações de inteligência de fontes humanas e sinais, além de avaliações sobre motivação e interesse geopolítico.
A sobreposição de ferramentas, códigos e até de infraestrutura entre diferentes unidades russas alimenta ambiguidades frequentes. Agências de inteligência e grupos vinculados ao Estado podem compartilhar recursos, terceirizar partes de operações a hackers “patrocinados” e até reutilizar artefatos de campanhas antigas, o que aumenta a margem para divergências em análises iniciais.
Além do setor de energia, o serviço de inteligência doméstica da Polônia comunicou que houve tentativas de invasão contra instalações de tratamento de água, criando risco direto à continuidade do fornecimento no país. Esse tipo de alvo reforça uma tendência preocupante: a ampliação do espectro de infraestruturas críticas visadas, indo além de energia e telecomunicações para alcançar serviços que impactam a saúde pública e o cotidiano imediato da população.
Alvo mais amplo: governos e organizações europeias
A Polônia não foi o único foco da atuação atribuída ao Centro 16. A França anunciou medidas adicionais em resposta às ações de espionagem cibernética consideradas persistentes em seu território. Além de aderir às sanções europeias, o governo francês comunicou que convocaria o embaixador russo para dar explicações sobre as atividades hostis identificadas.
Um relatório técnico elaborado pelo Centro de Coordenação de Crises Cibernéticas da França, o C4, detalhou operações associadas ao Centro 16 e mapeou onze centros de interceptação ligados ao braço de inteligência de sinais do FSB. Essas estruturas seriam usadas para monitoramento, coleta de informações sensíveis e preparação de futuras ofensivas. O documento expõe a existência de um aparato organizado, com capacidades ofensivas e de espionagem totalmente integradas.
Esse quadro confirma a avaliação de que campanhas de espionagem e sabotagem não são ações isoladas, mas parte de uma estratégia contínua de pressão política, militar e econômica. A combinação de ataques dirigidos contra governos, empresas estratégicas e infraestrutura crítica se insere em um contexto mais amplo de confrontação híbrida entre a Rússia e o bloco euro-atlântico.
Sanções cibernéticas como instrumento de pressão política
Ao anunciar o pacote de sanções, UE e Reino Unido buscaram sinalizar que ataques contra infraestrutura crítica serão tratados com máxima gravidade, aproximando a resposta digital da lógica adotada em sanções econômicas tradicionais. As medidas costumam incluir congelamento de ativos, proibição de viagens, restrições a transações financeiras e bloqueio de cooperação tecnológica com indivíduos e organizações implicadas.
Embora essas ações não impeçam diretamente novos ataques, elas aumentam o custo político e econômico para os envolvidos e criam um registro público de responsabilização internacional. Para os países europeus, a coordenação entre Bruxelas e Londres é igualmente simbólica: demonstra uma frente relativamente unificada em um campo em que a fragmentação de respostas sempre foi um problema.
No entanto, especialistas em segurança digital destacam que sanções, por si só, não substituem investimentos em defesa cibernética, modernização de infraestruturas e cooperação operacional entre agências técnicas. A natureza transnacional das ameaças exige mecanismos de troca de informações mais ágeis e exercícios conjuntos regulares entre governos, reguladores e empresas privadas.
Lições para a proteção de infraestrutura crítica
O ataque frustrado à rede elétrica polonesa fornece uma série de lições para operadores de energia, água, transporte e outros setores considerados críticos. Entre os pontos mais evidentes estão a necessidade de reduzir superfícies de ataque, especialmente em dispositivos industriais expostos, e de abandonar o uso de credenciais padrão em equipamentos conectados.
Outra lição é a importância de integrar práticas de segurança de TI e de tecnologia operacional. Muitas empresas ainda tratam redes industriais como ambientes isolados, quando, na prática, há forte interdependência com sistemas corporativos. O uso de Active Directory e GPOs pelos atacantes mostra como a exploração de falhas em governança de TI pode ter efeitos devastadores na camada operacional.
A presença de uma solução de EDR capaz de detectar o comportamento atípico do wiper foi decisiva para limitar o dano. Isso reforça o valor de camadas de defesa baseadas em análise comportamental e resposta automatizada. Porém, tais soluções precisam ser complementadas por processos robustos de backup, segmentação de rede, testes de recuperação de desastres e simulações de incidentes realistas.
Crescente risco de ciberataques saírem do campo digital
O episódio polonês é mais um exemplo de como ataques cibernéticos já ultrapassaram o estágio de “problemas de TI” para se tornarem desafios de segurança nacional. Quando alvos incluem usinas de energia, estações de tratamento de água e sistemas de aquecimento, qualquer incidente grave pode ter impacto físico direto: interrupção de serviços vitais, danos a equipamentos, riscos à saúde e até vítimas fatais em cenários extremos.
Para governos, isso exige planejamento integrado, que envolva não apenas centros de resposta cibernética, mas também órgãos de proteção civil, forças de segurança, reguladores setoriais e o próprio alto escalão político. A capacidade de comunicar rapidamente um incidente à população e de coordenar ações de contingência se torna tão importante quanto a detecção inicial da invasão.
Há também um componente de dissuasão. Ao tornar públicos os detalhes de atribuição e aplicar sanções, UE e Reino Unido procuram enviar uma mensagem de que ataques contra infraestrutura vital não passarão despercebidos nem ficarão sem resposta. A eficácia desse modelo ainda está em avaliação, mas ele sinaliza uma tendência clara de “politização” das respostas a incidentes cibernéticos.
Desafios futuros para Europa e países aliados
A continuidade de operações atribuídas ao FSB, ao GRU e a outros grupos ligados ao Estado russo indica que o cenário de ameaças deve permanecer intenso. A cada novo episódio, mais organizações percebem que se tornar alvo não é uma questão de “se”, mas de “quando”, sobretudo em setores estratégicos ou em países politicamente ativos em questões de segurança europeia.
Para a Europa, o desafio passa por aumentar a resiliência de infraestruturas críticas, fortalecer normas mínimas de segurança para operadores e acelerar a padronização de requisitos em todo o bloco. Países com menor maturidade digital tendem a se tornar pontos fracos exploráveis em cadeias de suprimentos e redes interconectadas, com efeitos em cascata além de suas fronteiras.
Nesse contexto, empresas privadas também precisam rever o papel que desempenham na proteção de interesses nacionais. Operadores de energia, telecomunicações, saúde e transporte integram, na prática, a “primeira linha” da defesa cibernética, já que controlam diretamente os sistemas alvo. Investimentos em equipe qualificada, ferramentas avançadas de monitoramento e cultura de segurança passam a ser tão estratégicos quanto a própria infraestrutura física.
O caso polonês, somado às revelações sobre o alcance das atividades do Centro 16 em países como França e Alemanha, consolida a percepção de que a Europa entrou definitivamente em uma fase de conflito de baixa intensidade no ciberespaço. A fronteira entre espionagem, sabotagem e guerra híbrida se torna cada vez mais tênue, colocando pressão sobre governos, empresas e cidadãos para se adaptarem a uma realidade em que energia, água e serviços essenciais podem ser alvos de ataques digitais sofisticados.