Vazamentos de Reliance e Kudankulam na dark web: a história da violação de infraestrutura crítica da Índia entra em sua fase de cadeia de suprimentos

A intrusão de Kudankulam em 2019 passou por um contratado. Sete anos depois, o ponto de entrada pode ainda ser o mesmo.

Em termos simples

Arquivos aparentemente vinculados à Reliance e à usina nuclear Kudankulam, na Índia, foram localizados em mercados da dark web, segundo investigação do Medianama. Nenhuma das entidades confirmou publicamente uma violação; a escala, origem e atualidade dos dados ainda precisam ser estabelecidas.

Contexto

Kudankulam é a maior usina nuclear da Índia, construída com reatores russos VVER-1000, e já foi alvo de um incidente confirmado de malware Dtrack em 2019, atribuído por analistas indianos e terceiros ao grupo Lazarus. Já a Reliance é o maior conglomerado privado da Índia, cujas divisões de telecomunicações e varejo detêm grandes conjuntos de dados de clientes. Ambas operam sob o regime de fiscalização da Lei DPDP (Digital Personal Data Protection Act, 2023), que ainda está em fase de implementação.

Os dados

O Medianama (16 de jul. de 2026) relata que amostras de arquivos com marcas da Reliance e da Kudankulam apareceram em fóruns da dark web. A publicação descreve documentos e metadados, em vez de um número definido de registros; nenhuma prova criptográfica de atualidade foi publicada até o momento. O CERT-In da Índia não havia emitido nenhum comunicado público relacionado a nenhum dos conjuntos de dados quando o artigo foi publicado.

Análise

Dois padrões são relevantes. Primeiro, arquivos de contratados e fornecedores são cada vez mais o ponto de entrada — a invasão de 2019 na Kudankulam transitou por uma estação de trabalho administrativa, não pela rede de controle do reator, e os materiais vazados este ano podem seguir o mesmo caminho. Segundo, "vazado" ≠ "comprometimento operacional": a lacuna entre um sistema de controle isolado e um armazenamento de documentos corporativos é onde a maioria dessas histórias realmente se situa, e geralmente isso é simplificado na manchete.

Cenários

Mais provável: confirmação de exfiltração do lado do contratado, sem impacto nas operações da usina, Conselho DPDP abre investigação do lado da Reliance. Agravado: cruzamento de dados de clientes da Reliance com pessoal vinculado à Kudankulam, abrindo risco de vigilância direcionada. Pior: atribuição a um ator vinculado a Estado desencadeia uma camada diplomática Índia-Rússia em torno da segurança da usina.

E daí?

Para quem vende para infraestruturas críticas indianas, a superfície de ataque está mudando de "grandes fornecedores sabem que são alvos" para "seus contratados são a porta de entrada". Cláusulas de segurança na cadeia de suprimentos deixam de ser mero papel. E o primeiro grande teste de fiscalização da Lei DPDP pode não vir de um aplicativo de consumo, mas de um vazamento de documentos corporativos com marcas de infraestrutura crítica.