O incidente de ransomware da Fairlife levou à suspensão temporária das operações de produção (production operations) nos Estados Unidos e foi divulgado pela Coca-Cola em 16 de julho de 2026. A confirmação consta em um Formulário 8-K oficial e registra acesso não autorizado a sistemas relacionados à produção.
O que aconteceu com a Fairlife
A Coca-Cola informou que a Fairlife identificou acesso não autorizado de um terceiro a parte de seus sistemas, incluindo sistemas relacionados à produção, em conexão com um evento de ransomware. Após detectar o problema, a empresa acionou protocolos de resposta a incidentes (incident response) e continuidade de negócios (business continuity), contou com consultores externos de cibersegurança (cybersecurity experts) e notificou as autoridades (law enforcement). A empresa declarou que a qualidade e a segurança dos produtos (product quality and safety) não foram impactadas. As operações da Fairlife no Canadá seguem em atividade, segundo a própria empresa.
A comunicação foi feita no Formulário 8-K enviado à Comissão de Valores Mobiliários dos Estados Unidos sob o Item 8.01, rotulado como eventos outros, e não sob o Item 1.05, reservado a incidentes considerados materiais. No documento, a Coca-Cola afirma que ainda não determinou se o incidente é, na formulação original, reasonably likely to materially affect the Company. A escolha do item sinaliza que a avaliação de impacto segue em curso: se a materialidade for confirmada, uma nova divulgação mais detalhada pode ser exigida em até quatro dias úteis.
Por que alimentos viraram alvo
O ataque à Fairlife não é um caso isolado. A análise de ransomware industrial do primeiro trimestre de 2026 da Dragos identificou 1.020 incidentes afetando organizações industriais em todo o mundo, com a manufatura respondendo por 62% das vítimas observadas, somando 633 incidentes. Construção, equipamentos industriais e produtores de alimentos e bebidas aparecem entre os mais atingidos justamente porque a interrupção operacional se traduz rápido em pressão financeira.
Grupos como Qilin e Akira lideram o volume de ataques contra organizações industriais. Qilin permanece como a principal marca de ransomware contra organizações industriais desde março de 2025, após recrutamento agressivo de afiliados deslocados por ações policiais contra LockBit e RansomHub, segundo a Dragos. A operação The Gentlemen cresceu de 18 incidentes no quarto trimestre de 2025 para 83 no primeiro trimestre de 2026. A América do Norte concentrou quase 500 vítimas no período, seguida pela Europa, com mais de 250, o que reflete o alinhamento dos grupos com vítimas fora da Comunidade dos Estados Independentes.
A Dragos observou uso disseminado de modelos de dupla extorsão envolvendo roubo de dados antes da criptografia (data theft prior to encryption). Dados de mercado citados pela Dragos indicam que a maioria das invasões de ransomware em 2025 envolveu suspeita de exfiltração de dados. Isso significa que backups, embora essenciais contra a criptografia, não contêm o risco regulatório nem a exposição de segredos industriais roubados.
IT, OT e o cenário aberto
A frase escolhida pela Coca-Cola, sistemas relacionados à produção, é deliberadamente ampla. O Formulário 8-K informa que a Fairlife identificou acesso não autorizado por um terceiro a parte dos seus sistemas, incluindo sistemas relacionados à produção, em conexão com um evento de ransomware. O documento mantém em aberto se o ataque alcançou a tecnologia operacional do chão de fábrica ou se a produção foi suspensa após a indisponibilidade dos sistemas corporativos. Essa diferença determina a complexidade e o prazo de restauração.
Quando o ransomware atinge apenas a tecnologia da informação, a empresa costuma interromper a fabricação voluntariamente, pois produzir sem suporte confiável de pedidos e logística gera risco de qualidade, e a recuperação é relativamente direta após limpeza. Quando alcança a tecnologia operacional, investigadores precisam verificar parâmetros de controle, intertravamentos de segurança e ajustes de processo antes de religar máquinas. A análise da Dragos registra que interrupções originadas na tecnologia da informação frequentemente se propagam para sistemas de engenharia, planejamento de produção e visibilidade operacional sem exigir malware específico para sistemas de controle industrial.
O acesso inicial dos grupos continua saindo de roubo de credenciais, exploração de serviços expostos à internet e contas compradas de corretores de acesso. A atividade pós-invasão depende muito de ferramentas de gerenciamento remoto, como AnyDesk, TeamViewer, SimpleHelp e ConnectWise ScreenConnect. Controlar essas ferramentas, monitorar contas privilegiadas e segmentar redes são, por isso, controles de alto impacto em ambientes industriais.
Como conter o risco de ransomware
O guia #StopRansomware, mantido pela CISA com FBI e NSA, lista medidas que reduzem tanto a probabilidade quanto o impacto de ataques. As recomendações centrais incluem manter backups offline e criptografados de dados críticos, testar regularmente a integridade e a disponibilidade desses backups em cenário de desastre, aplicar MFA resistente a phishing (phishing-resistant MFA) em VPNs e contas que acessam sistemas críticos (critical systems) e corrigir com prioridade vulnerabilidades já exploradas em sistemas expostos à internet. Para aprofundar a base de controles, vale revisar a análise sobre os controles que ainda salvam contra ransomware em 2026.
O guia recomenda ainda manter imagens chamadas douradas de sistemas críticos para reconstrução acelerada, limitar o uso de protocolos como o Remote Desktop Protocol e desativar portas e protocolos não usados para fins de negócio. Servidores expostos à internet (internet-facing servers) devem receber correções prioritárias para vulnerabilidades conhecidamente exploradas (known exploited vulnerabilities). Nas conexões VPN, a CISA orienta aplicar autenticação multifator. Backups offline e criptografados precisam ter disponibilidade e integridade testadas regularmente em um cenário de recuperação de desastre. A execução desses controles pode ser registrada no plano de resposta a incidentes da organização.
Controles recomendados pela CISA
| Controle | Configuração | Verificação |
|---|---|---|
| Backups | Offline e criptografados | Testar disponibilidade e integridade regularmente |
| Acesso remoto | Conexões VPN | Aplicar autenticação multifator |
| Sistemas críticos | Imagens douradas | Manter e atualizar regularmente |
| Servidores expostos | Vulnerabilidades exploradas | Corrigir prioritariamente |
Checklist de contenção e recuperação
- Manter e atualizar imagens douradas (golden images) de sistemas críticos (critical systems).
- Desativar portas e protocolos sem uso de negócio, incluindo o RDP quando não for necessário.
- Aplicar autenticação multifator nas conexões VPN.
- Testar a disponibilidade e a integridade dos backups offline e criptografados.
- Corrigir prioritariamente vulnerabilidades conhecidamente exploradas em servidores expostos à internet.