Coca-Cola interrompe produção nos EUA de sua marca de laticínios Fairlife de US$ 4 bilhões após ataque de ransomware

A Coca-Cola confirmou em 16 de julho que sua subsidiária de laticínios Fairlife suspendeu a produção em suas instalações nos EUA após um ataque de ransomware comprometer sistemas ligados às operações de fabricação. A empresa divulgou o incidente em um arquivamento junto à Securities and Exchange Commission (SEC), afirmando que um terceiro não autorizado acessou uma parte dos sistemas da Fairlife, incluindo a infraestrutura relacionada à produção, conforme relatado pela primeira vez pelo TechCrunch.

O que aconteceu

A Fairlife detectou o acesso não autorizado e ativou seus protocolos de resposta a incidentes e continuidade de negócios, de acordo com a divulgação à SEC. As operações de produção nos EUA foram temporariamente suspensas como resultado direto, enquanto as operações canadenses da Fairlife continuam funcionando sem serem afetadas. A Coca-Cola afirma que a qualidade e a segurança dos produtos não foram comprometidas, e a empresa notificou as autoridades policiais enquanto trabalha com empresas externas de cibersegurança para determinar o escopo total da violação.

Nenhum grupo de ransomware assumiu publicamente a responsabilidade pelo ataque até o momento desta redação, e a Coca-Cola não revelou se os invasores exfiltraram dados ou emitiram uma exigência de resgate. A empresa afirma que sua investigação está em andamento e que o escopo total, a natureza e o impacto do incidente permanecem indeterminados.

Por que isso importa além de uma marca de laticínios

A Fairlife não é uma marca de nicho – é um negócio de aproximadamente US$ 4 bilhões em receita anual para a Coca-Cola, construído sobre leite ultrafiltrado e shakes de proteína que se tornaram um item fixo no varejo de alimentos e fitness nos EUA. Uma paralisação da produção nessa escala cria um risco imediato de interrupção no fornecimento, e ataques de ransomware que atingem a tecnologia operacional (OT) – os sistemas que realmente operam as linhas de fabricação, não apenas a TI corporativa – tendem a causar as interrupções mais longas e caras precisamente porque a produção não pode ser retomada com segurança até que os sistemas sejam verificados como limpos.

Esse padrão tem precedente na indústria de bebidas e alimentos. A Arizona Beverages sofreu um ataque de ransomware em 2019 que levou semanas para ser resolvido, e a United Natural Foods Inc. foi atingida em 2025 com uma interrupção que se estendeu por um período semelhante. Ambientes de fabricação são frequentemente mais difíceis de recuperar do que redes de escritório, porque os sistemas de controle de linhas de produção não podem simplesmente ser restaurados a partir de um backup sem arriscar a segurança física ou problemas de qualidade do produto.

O momento da divulgação é notável

A Coca-Cola agiu rapidamente para arquivar um Formulário 8-K junto à SEC divulgando o incidente, refletindo as regras de divulgação de cibersegurança da SEC que exigem que empresas de capital aberto relatem violações materiais dentro de quatro dias úteis após a determinação da materialidade. A divulgação rápida, embora ainda incompleta, contrasta com incidentes em que as empresas afetadas permaneceram em silêncio por semanas. A posição pública da Coca-Cola – de que a qualidade e a segurança não foram afetadas, mas que o escopo e o impacto ainda estão sob investigação – deixa em aberto a possibilidade de uma atualização mais significativa assim que a investigação forense for concluída.

Três coisas determinarão a gravidade deste incidente: se um grupo de ransomware eventualmente reivindicará o crédito e revelará quais dados roubou, quanto tempo dura a suspensão da produção nos EUA e se a Coca-Cola divulgará um pagamento de resgate ou recusa. O tempo de inatividade prolongado da produção na escala da Fairlife seria um golpe significativo para uma linha de produtos de rápido crescimento na qual a Coca-Cola investiu pesadamente para expandir, e qualquer roubo de dados confirmado desencadearia obrigações separadas de notificação ao consumidor e regulatória além do arquivamento já feito junto à SEC.