A Coca-Cola informou na segunda-feira (27) que a Fairlife, sua unidade de laticínios nos Estados Unidos, retomou a maior parte da produção nas quatro fábricas paralisadas por um ataque de ransomware. A empresa segue trabalhando para restabelecer totalmente os sistemas e processos afetados.
O incidente envolveu acesso não autorizado a parte dos sistemas da companhia e resultou no roubo de determinados dados. A paralisação começou a ser divulgada em 17 de julho.
O caso foi formalizado em registro 8-K junto à Securities and Exchange Commission, o órgão regulador do mercado de capitais americano, o que transformou o incidente em fato empresarial declarado, com implicações regulatórias e financeiras.
Estoque segurou a prateleira
A companhia afirmou que a disponibilidade dos produtos Fairlife no varejo não foi afetada de forma significativa, em grande parte por causa do estoque já existente na cadeia.
A qualidade e a segurança dos produtos comercializados não foram comprometidas, segundo a empresa. As autoridades responsáveis foram notificadas, e a Coca-Cola não informou quem seria o responsável pelo ataque.
Sobre resultados, a companhia declarou não esperar impacto material no desempenho financeiro nem nas operações. A Fairlife foi adquirida em 2020 e opera como negócio relativamente independente dentro do grupo.
Alvo foi a capacidade de produzir, não só o dado
O que diferencia esse tipo de ataque é o alvo. Ransomware criptografa dados e bloqueia o acesso a sistemas, e criminosos cobram pagamento para liberar as informações ou para não divulgá-las.
Quando atinge tecnologia operacional, a camada que controla máquinas e linhas de produção, o efeito deixa de ser administrativo. A fábrica para. Setores de alimentos e bebidas operam com margem apertada e dependem de produção contínua, o que os torna alvo rentável para quadrilhas: a pressão do tempo aumenta a chance de pagamento.
O caso reforça uma discussão que ganhou corpo no setor industrial: a separação entre redes corporativas e redes de produção, backups testados com frequência e planos de recuperação que considerem parada física, não apenas perda de arquivos.
No Brasil, a conta inclui a LGPD
Para uma indústria brasileira, um incidente com esse perfil aciona obrigações adicionais. A Lei Geral de Proteção de Dados exige comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados, em prazo definido pela regulamentação da própria ANPD, sempre que houver risco relevante.
Companhias de capital aberto têm ainda o dever de avaliar se o incidente constitui fato relevante para o mercado, o mesmo raciocínio que levou a Coca-Cola ao registro na SEC.
O custo, na prática, se divide em três blocos: a parada operacional, o esforço de restabelecimento dos sistemas e a exposição jurídica pelos dados vazados. O terceiro é o que costuma se arrastar por mais tempo, porque depende de investigação sobre o que exatamente saiu, e de quem eram esses dados.
