A Coca-Cola recusou pagar o resgate. Em 16 de julho de 2026, segundo a divulgação da Coca-Cola ao SEC, um ataque ransomware havia parado a produção da Fairlife, sua subsidiária de laticínios. Quatro plantas nos Estados Unidos. Onze dias de operações interrompidas. Quatro dias depois, segundo o grupo Anubis, a Fairlife foi listada em seu leak site: o grupo alegou ter roubado 1 terabyte de dados e criptografado toda a infraestrutura Nutanix, com prazo fixado em 27 de julho. A Coca-Cola não negociou, reportou às autoridades e, em 27 de julho, o Anubis publicou os dados. Nós analisamos o caso e o sinal é claro: a decisão da Coca-Cola foi racional — e o motivo é um parâmetro chamado /WIPEMODE.
O /WIPEMODE: por que pagar o resgate é uma aposta perdida
O Anubis oferece um modo operacional que poucos ransomwares têm: um parâmetro chamado /WIPEMODE. Quando ativado, o conteúdo dos arquivos é zerado permanentemente. Os nomes permanecem. A estrutura de pastas permanece. Mas o conteúdo vira zero bytes. Recuperação impossível. Mesmo que você pague.
Pagar o resgate não garante nada. É uma aposta contra um grupo que oferece um wiper destrutivo como feature. Não há garantia de que o atacante desative o /WIPEMODE após o pagamento. Não há como provar que ele não foi executado antes da negociação. A decisão da Coca-Cola de recusar o resgate, segundo a orientação do FBI e da CISA, foi a decisão correta — não a decisão barata. Onze dias de produção. Dados publicados. Reputação em jogo.
O Anubis: origem, operação e por que a Fairlife estava fora do padrão
O Anubis surgiu em dezembro de 2024 como rebrand do Sphinx ransomware, segundo inteligência de ameaças reportada. Operação RaaS, divisão 80/20, recrutamento em fóruns russófonos. 83 vítimas listadas em seu leak site. Setor principal: saúde. A Fairlife estava fora do padrão habitual — food and agriculture não é o foco do grupo, o que torna o ataque um sinal de expansão de alvo.
O vetor provável foi CitrixBleed 2, CVE-2025-5777 — uma vulnerabilidade no Citrix NetScaler que vaza session tokens da memória. O invasor reproduz o token e entra como usuário autenticado. Sem senha. Sem MFA. Sem phishing. O patch era gratuito, disponível havia meses. A Coca-Cola não confirmou o vetor publicamente. Mas o padrão é consistente com a kill chain do Anubis: acesso inicial via session token roubado, lateral movement limitada, alvo no ERP de agendamento.
A cadeia de frio como alvo: perecíveis têm prazo
O ataque à Fairlife faz parte de uma série. É o 205º ataque ransomware ao setor de food and agriculture em 2026, segundo dados reportados do setor. A indústria de alimentos é o 7º setor mais atacado em volume. Mas top 3 em impacto sistêmico.
A história é recorrente. JBS pagou 11 milhões de dólares em 2021; vinte por cento da capacidade de carne dos Estados Unidos ficou offline. Dole parou operações na América do Norte em 2023. Nichirei, no Japão, teve 140 centros de distribuição refrigerada offline em julho de 2026 — KFC Japan ficou sem frango.
A cadeia de frio é um alvo atrativo por uma razão simples: perecíveis têm prazo. Segundo dados reportados da indústria, uma hora de downtime em uma planta de food and beverage custa em média 1 milhão de dólares. Margens operacionais de 1,6%. O relógio joga a favor do atacante. Cada hora de negociação é uma hora de produto perdida — e o atacante sabe disso.
O diagnóstico da Tech86: SCADA, FSMA e remote connectivity
Quando a Tech86 avalia infraestrutura de clientes na indústria de alimentos, o diagnóstico é recorrente. Sistemas SCADA com 15 anos de idade no mesmo VLAN do escritório. Evidência de temperatura — que é regulatória sob FSMA — armazenada em sistemas sem cópias de segurança testadas. Remote connectivity habilitada em cold storage sem segmentação.
O alvo provável do ataque à Fairlife foi o ERP de agendamento. O SCADA permaneceu intacto. A produção parou porque a regulação exige a parada quando a integridade do agendamento é comprometida. Isso é o que torna ransomware na cadeia de frio diferente de ransomware em outros setores: não é preciso criptografar o SCADA para parar a produção. Basta comprometer o sistema que agenda o que entra e o que sai.
Conclusão: o próximo ataque à cadeia de frio é uma questão de quando
A Coca-Cola tomou a decisão certa. Recusar o resgate é a orientação do FBI e da CISA. Mas a decisão certa não significa a decisão barata. Onze dias de produção. Dados publicados. Reputação em jogo. O próximo ataque à cadeia de frio é uma questão de quando.
Na Tech86, nós ajudamos empresas da indústria de alimentos a segregar SCADA de redes corporativas, aplicar patch em vetores conhecidos como CitrixBleed 2, testar cópias de segurança para evidência regulatória e desabilitar remote connectivity em cold storage por padrão. O /WIPEMODE mudou o cálculo do resgate — pagar não é mais uma opção de fallback, é uma aposta contra um wiper que não tem workaround.