Central elétrica britânica parada quatro dias, nunca comunicada

Quatro dias de apagão numa instalação britânica, revelados por um jornal

O Telegraph noticiou, a 22 de agosto de 2026, que hackers ligados ao Irão deixaram uma pequena central elétrica britânica sem funcionar durante quatro dias, no que vários órgãos de comunicação descrevem como o primeiro ciberataque iraniano bem-sucedido a deixar uma instalação elétrica britânica fora de serviço. A notícia citou fontes de segurança e governamentais não identificadas, e relatos corroborantes surgiram poucas horas depois vindos da Iran International, da GB News, do Jerusalem Post, do Ynetnews e do Israel Hayom.

As autoridades britânicas interpretaram a intrusão como uma demonstração de capacidade e não como uma tentativa de perturbar a rede nacional, porque a instalação em causa era pequena e o resto da rede continuou a funcionar sem interrupção durante os quatro dias de avaria. Esta leitura é importante para saber o quão a sério as operadoras mais pequenas devem levar o incidente: uma demonstração dirigida a uma instalação pequena continua a ser prova daquilo que o mesmo ator poderia tentar contra uma maior.

Não é um caso isolado: um padrão em cinco países mais uma vaga contra a água nos EUA

A falha na central elétrica britânica surgiu na mesma janela temporal de uma vaga de ataques a empresas de água em 12 estados dos Estados Unidos, incidentes que, segundo o que foi noticiado, causaram inundações, quedas de pressão e avisos de água não potável para as comunidades afetadas.

Este calendário seguiu-se a uma série de intrusões iranianas suspeitas em infraestruturas críticas noutros pontos da Europa, na Alemanha, na Polónia, na Finlândia, na Bélgica e na Albânia, segundo a mesma informação. Postos em conjunto, os incidentes leem-se menos como sondagens dispersas e mais como um único ator a testar acessos em vários setores e vários países ao mesmo tempo.

Além do apagão: uma lacuna de comunicação que a NIS2 não foi feita para apanhar

O público não soube desta falha na infraestrutura energética britânica através de qualquer regime obrigatório de comunicação; soube através de uma investigação jornalística, publicada dias depois de a avaria já ter terminado.

As NIS Regulations britânicas e a diretiva NIS2 paralela da UE constroem as suas obrigações de comunicação em torno dos chamados operadores de serviços essenciais, uma designação pensada para grandes operadores de rede, empresas nacionais de transporte e grandes fornecedoras, não para cada pequena instalação de produção independente ligada à rede mais ampla. Em Portugal, o CNCS aplica um limiar assente na mesma lógica no âmbito da transposição da NIS2, e foi exatamente nessa lacuna que esta instalação se encontrava: pequena o suficiente para ficar fora do perímetro óbvio de comunicação, ligada o suficiente para ser um alvo real, e o resultado é uma falha de que o público teve conhecimento por acaso, e não por conceção.

O que as operadoras industriais e energéticas britânicas e da UE devem verificar agora

Todas as operadoras britânicas ou da UE que gerem infraestruturas industriais ou energéticas têm agora um motivo concreto para reverificar dois pressupostos: se a sua própria instalação despertaria de facto uma obrigação de comunicação ao abrigo da NIS2 ou das NIS Regulations britânicas, e se a segmentação entre TI e tecnologia operacional resistiria à mesma via de intrusão aqui utilizada.

O padrão em cinco países, Alemanha, Polónia, Finlândia, Bélgica e Albânia, associado à vaga contra a água nos EUA, desaconselha tratar isto como um caso isolado que mal merece um encolher de ombros; aconselha tratar a exposição de uma pequena instalação como uma rubrica real no mesmo registo de riscos da maior fornecedora nacional, porque o ator por detrás disto não seleciona alvos pela dimensão.

Leia a seguir: A moratória NIS2 da Alemanha terminou  |  Agentes de IA autónomos atacaram o Governo de Taiwan