NAC para PMEs: como controlar quem acessa sua rede corporativa
Sua empresa sabe exatamente quem está conectado à rede neste momento?
Essa pergunta parece simples, mas muitas pequenas e médias empresas não conseguem respondê-la com segurança. Em muitos ambientes, o Wi-Fi corporativo ainda usa senha compartilhada, portas de rede ficam ativas em salas de reunião, visitantes se conectam à mesma rede dos colaboradores e dispositivos como impressoras, câmeras e equipamentos IoT acabam convivendo no mesmo ambiente dos sistemas internos.
O firewall pode estar bem configurado. O antivírus pode estar instalado. A VPN pode exigir múltiplo fator de autenticação. O backup pode estar em dia. Ainda assim, se qualquer dispositivo consegue entrar livremente na rede interna, existe uma lacuna importante de segurança.
É nesse ponto que entra o NAC, sigla para Network Access Control, ou controle de acesso à rede.
Para pequenas e médias empresas, NAC não deve ser visto como uma tecnologia distante ou exclusiva de grandes corporações. Ele é uma camada prática para controlar quem ou qual dispositivo pode acessar a rede antes que a conexão seja liberada no Wi-Fi ou na rede cabeada.
Em outras palavras, não basta proteger apenas a borda da empresa. Também é preciso controlar quem entra pela porta da frente da rede interna.
Sua rede interna está realmente protegida?
Preparamos um checklist gratuito com 20 perguntas para ajudar sua empresa a avaliar riscos em Wi-Fi corporativo, portas de rede, visitantes, terceiros, impressoras e dispositivos IoT.
Solicitar checklist gratuito de segurança de rede
O que é NAC?
NAC significa Network Access Control. Na prática, é uma estratégia de segurança que permite validar usuários e dispositivos antes de liberar acesso à rede corporativa.
Em vez de permitir que qualquer equipamento conectado ao cabo ou ao Wi-Fi tenha acesso ao ambiente interno, o NAC cria uma etapa de verificação. A rede passa a avaliar quem está tentando se conectar, se o dispositivo é conhecido, se o usuário está autorizado e qual nível de acesso deve ser concedido.
Esse controle pode considerar diferentes informações, como identidade do usuário, certificado digital, grupo no diretório corporativo, tipo de dispositivo, localização, porta física, rede wireless utilizada e política de segurança definida pela empresa.
O ponto central é mudar a lógica de confiança. Sem NAC, muitas redes funcionam no modelo “conectou, entrou”. Com NAC, o modelo passa a ser “identifique-se primeiro, depois receba o acesso adequado”.
Essa diferença é importante porque muitos incidentes não começam por uma invasão sofisticada pela internet. Em alguns casos, o risco está em um notebook pessoal conectado à rede, em uma senha de Wi-Fi compartilhada há anos, em uma câmera vulnerável ou em uma porta de rede exposta em uma sala de reunião.
NAC, 802.1X, WPA2/WPA3-Enterprise e RADIUS: qual a diferença?
Quando o assunto é controle de acesso à rede, alguns termos técnicos aparecem juntos e podem gerar confusão. NAC, 802.1X, WPA2-Enterprise, WPA3-Enterprise, RADIUS, NPS, EAP e VLAN dinâmica fazem parte do mesmo ecossistema, mas não significam exatamente a mesma coisa.
A forma mais simples de entender é pensar no NAC como a estratégia. Ele representa a ideia de controlar quem pode entrar na rede e qual acesso será permitido depois da autenticação.
O 802.1X é uma das principais tecnologias usadas para implementar esse controle em redes cabeadas e wireless. Ele permite que o switch ou o access point bloqueie o acesso até que o usuário ou dispositivo seja autenticado.
No Wi-Fi corporativo, essa abordagem normalmente aparece como WPA2-Enterprise ou WPA3-Enterprise. Diferente do Wi-Fi com senha compartilhada, o modelo Enterprise permite autenticação individual, geralmente integrada a um servidor RADIUS.
O RADIUS, ou o Microsoft NPS em ambientes Windows, atua como o servidor que valida a identidade e toma a decisão de autenticação e autorização. Já o EAP é o framework de autenticação usado nesse processo.
Em resumo: NAC é o conceito de segurança, 802.1X é uma tecnologia de implementação, WPA2/WPA3-Enterprise é a forma prática de aplicar isso no Wi-Fi corporativo, e RADIUS é quem ajuda a validar se o acesso deve ser permitido.
Essa distinção ajuda a comunicar melhor o tema para públicos diferentes. Gestores e áreas de negócio entendem melhor a ideia de controle de acesso à rede. Já equipes técnicas precisam dos termos 802.1X, RADIUS, EAP, VLAN dinâmica e certificados para avaliar arquitetura, compatibilidade e implantação.
Por que isso importa para pequenas e médias empresas?
Pequenas e médias empresas muitas vezes não possuem uma equipe dedicada de segurança, mas enfrentam riscos parecidos com empresas maiores. O ambiente pode ter dados sensíveis, sistemas financeiros, arquivos compartilhados, ERPs, aplicações em nuvem, impressoras multifuncionais, câmeras, visitantes, prestadores e colaboradores usando dispositivos móveis.
O problema é que, sem controle de acesso à rede, a empresa perde visibilidade. Fica difícil saber quem conectou, em qual ponto da rede, com qual dispositivo e até onde esse acesso chegou.
Um visitante pode receber a senha do Wi-Fi e continuar com acesso depois da reunião. Um colaborador desligado pode ainda conhecer a senha da rede. Um prestador pode conectar um notebook pessoal em uma porta cabeada. Uma impressora ou câmera vulnerável pode estar na mesma rede dos computadores dos usuários. Um ponto de rede esquecido pode permitir acesso direto ao ambiente interno.
O NAC ajuda a reduzir esse risco porque aproxima o acesso à rede da identidade da empresa. O acesso deixa de depender apenas de uma senha compartilhada ou de uma porta física liberada e passa a ser orientado por autenticação, autorização, segmentação e registro de logs.
Para uma PME, isso representa ganho de segurança, visibilidade e governança sem necessariamente começar por um projeto complexo. O caminho pode ser gradual, começando pelo Wi-Fi corporativo, avançando para áreas cabeadas mais expostas e tratando exceções como impressoras, câmeras e dispositivos legados com segmentação adequada.
O problema da senha compartilhada no Wi-Fi corporativo
O uso de senha compartilhada no Wi-Fi corporativo ainda é muito comum. Ele é simples de configurar, fácil de explicar e aparentemente resolve o problema de conectividade. Mas, do ponto de vista de segurança, esse modelo cria fragilidades importantes.
Quando todos usam a mesma senha, a empresa perde rastreabilidade. Não é simples saber se foi um colaborador, um visitante, um terceiro ou um equipamento pessoal que usou aquela credencial. Quando alguém sai da empresa, a senha continua conhecida. Quando a senha vaza, o impacto é coletivo. Para corrigir, normalmente é necessário trocar a senha em todos os dispositivos, o que gera atrito operacional.
Em um ambiente corporativo, especialmente quando existem dados sensíveis ou sistemas internos, o ideal é que o Wi-Fi deixe de funcionar como uma chave compartilhada por todos e passe a funcionar com autenticação individual.
É aqui que entram WPA2-Enterprise e WPA3-Enterprise. Com esse modelo, cada usuário ou dispositivo autentica contra um servidor, normalmente RADIUS. A empresa pode remover o acesso de uma pessoa específica, exigir certificado digital em dispositivos corporativos e aplicar políticas diferentes conforme o perfil.
Essa mudança parece técnica, mas o benefício é muito prático: a empresa deixa de perguntar “quem sabe a senha do Wi-Fi?” e passa a perguntar “quem está autorizado a acessar esta rede?”.
Casos reais mostram que o risco é concreto
Ataques à rede interna nem sempre começam com uma exploração avançada. Em alguns casos, o caminho de entrada é uma credencial válida, uma rede Wi-Fi com controle inferior ao restante do ambiente, uma porta física exposta ou um dispositivo conectado sem validação.
Um caso investigado pela Volexity mostrou como uma rede Wi-Fi corporativa pode ser explorada quando não recebe o mesmo nível de proteção aplicado a VPN, e-mail e aplicações externas. No ataque conhecido como Nearest Neighbor Attack, um grupo associado ao APT28 conseguiu acessar uma rede Wi-Fi corporativa usando credenciais válidas e redes próximas comprometidas. O ponto mais relevante é que o atacante não precisou estar fisicamente dentro da empresa. Ele usou redes vizinhas como ponte para alcançar o alvo.
Esse caso mostra que proteger apenas os acessos externos não é suficiente. MFA em e-mail e VPN continua sendo essencial, mas a rede Wi-Fi corporativa também precisa de autenticação forte, segmentação, monitoramento e controle sobre os dispositivos autorizados.
Outro caso relevante envolveu o grupo UNC2891. Segundo análise da Group-IB, um Raspberry Pi com conexão 4G foi conectado fisicamente à infraestrutura de ATM de um banco, funcionando como uma entrada clandestina dentro da rede interna. Esse tipo de cenário reforça um ponto fundamental: se alguém consegue plugar um equipamento dentro da rede, o perímetro tradicional já foi ultrapassado.
Em empresas menores, esse risco pode aparecer de formas mais simples. Pode ser um roteador doméstico conectado por engano, um access point não autorizado, uma câmera IP vulnerável, uma impressora multifuncional exposta, um notebook pessoal de terceiro ou uma porta de rede esquecida em uma sala de reunião.
O aprendizado é direto: a rede interna também precisa validar quem entra.
Solicite uma avaliação inicial da sua rede
Como o NAC funciona na prática?
Na prática, o NAC atua como uma camada de decisão antes da liberação do acesso à rede.
Quando um notebook tenta se conectar ao Wi-Fi corporativo ou a uma porta cabeada, o switch ou access point identifica a tentativa de conexão. Em vez de liberar o tráfego imediatamente, ele encaminha a autenticação para um servidor RADIUS ou plataforma NAC. Esse servidor valida as informações disponíveis, como usuário, senha, certificado, grupo, dispositivo ou política de acesso.
Se a autenticação for aprovada, o acesso é liberado. Mas isso não significa que todos devam receber o mesmo nível de permissão. Um colaborador pode ser direcionado para a VLAN corporativa, um visitante pode receber apenas acesso à internet, uma impressora pode ser colocada em uma rede restrita e um dispositivo desconhecido pode ser enviado para quarentena ou bloqueado.
Esse modelo permite que a empresa vá além do simples “permitir ou negar”. O acesso passa a ser contextual. Quem é o usuário? O dispositivo é conhecido? Está em conformidade? A qual rede ele deve pertencer? Que tipo de comunicação será permitida?
Essa abordagem aproxima a rede local dos princípios de Zero Trust: não confiar automaticamente apenas porque o dispositivo está dentro do escritório.
Arquitetura técnica resumida
Em uma arquitetura baseada em 802.1X, existem três papéis principais.
O primeiro é o supplicant, que é o dispositivo tentando acessar a rede. Pode ser um notebook, desktop, celular corporativo ou outro equipamento compatível com autenticação 802.1X. Em sistemas como Windows, macOS, Linux, Android e iOS, esse componente normalmente já existe no próprio sistema operacional.
O segundo é o authenticator, geralmente representado pelo switch de acesso ou access point corporativo. Ele funciona como o controlador da entrada. Enquanto a autenticação não é aprovada, a porta física ou a sessão wireless permanece bloqueada ou limitada.
O terceiro é o authentication server, normalmente um servidor RADIUS, Microsoft NPS ou uma solução NAC. Esse servidor valida a identidade, consulta políticas e decide se o acesso será permitido, negado ou limitado.
A arquitetura pode ser visualizada de forma simples:
+----------------------+
| AD / Entra ID / CA |
| Usuários, grupos, |
| certificados |
+----------+-----------+
|
| Consulta identidade
v
+-------------+ +------+-------+ +------------------+
| Endpoint | | Switch / AP | | RADIUS / NPS / |
| Supplicant +----->| Authenticator+------>| NAC |
| 802.1X | EAP | | RADIUS| Políticas |
+-------------+ +------+-------+ +--------+---------+
| |
| Autorização |
v |
+----------+-----------+ |
| VLAN / ACL / Perfil |<-----------+
| Corporativo, Guest, |
| IoT ou Quarentena |
+---------------------+O switch ou access point controla a conexão, mas a decisão de acesso fica centralizada no RADIUS ou na plataforma NAC. Isso melhora a governança, facilita auditoria e permite políticas mais consistentes.
EAP, certificados e autenticação forte
O 802.1X utiliza EAP, Extensible Authentication Protocol, como estrutura de autenticação. O EAP permite diferentes métodos, e a escolha do método influencia diretamente a segurança e a complexidade da implantação.
Em ambientes Microsoft, é comum encontrar PEAP com MS-CHAPv2, principalmente pela integração com Active Directory e NPS. Esse modelo pode ser mais simples de implantar, mas depende bastante da segurança das senhas e da validação correta do certificado do servidor. Quando mal configurado, pode abrir espaço para captura de credenciais.
Já o EAP-TLS é considerado uma abordagem mais forte, pois utiliza certificados digitais para autenticar usuários, dispositivos ou ambos. Isso reduz a dependência de senha, dificulta o uso de credenciais vazadas e melhora o controle sobre dispositivos corporativos.
A contrapartida é que o EAP-TLS exige uma gestão mais madura de certificados. A empresa precisa emitir, renovar, revogar e monitorar certificados ao longo do ciclo de vida dos dispositivos. Para muitas PMEs, esse pode ser um segundo passo, depois de um diagnóstico e de um piloto bem planejado.
O ponto importante é não tratar NAC como uma única configuração. Ele envolve identidade, autenticação, autorização, segmentação, logs e operação contínua.
Segmentação: o controle não termina na autenticação
Autenticar o usuário ou dispositivo é apenas parte da solução. Depois da autenticação, é preciso definir qual nível de acesso será permitido.
Uma falha comum é implantar autenticação e, mesmo assim, colocar todos os usuários e dispositivos na mesma rede. Isso reduz o benefício do projeto. O ideal é combinar NAC com segmentação, VLANs, ACLs e regras de comunicação internas.
Um exemplo simples para PME seria separar colaboradores, visitantes, impressoras, câmeras, IoT e dispositivos desconhecidos em redes diferentes. O colaborador acessa os sistemas corporativos necessários. O visitante acessa apenas a internet. A impressora recebe comunicação somente dos servidores ou estações autorizadas. Câmeras e dispositivos IoT ficam isolados. Equipamentos desconhecidos são bloqueados ou enviados para quarentena.
| Perfil | Rede sugerida | Objetivo |
|---|---|---|
| Colaboradores corporativos | VLAN 10 | Acesso aos recursos necessários |
| Diretoria/Financeiro | VLAN 20 | Acesso mais restrito e monitorado |
| Visitantes | VLAN 30 | Apenas internet |
| Impressoras | VLAN 40 | Comunicação limitada |
| Câmeras e IoT | VLAN 50 | Isolamento e acesso mínimo |
| Quarentena | VLAN 90 | Correção ou investigação |
| Dispositivos desconhecidos | VLAN 99 | Bloqueio ou acesso mínimo |
Essa separação reduz movimentação lateral e limita o impacto caso algum dispositivo seja comprometido.
Wi-Fi corporativo: por onde muitas empresas deveriam começar
Para muitas pequenas e médias empresas, o melhor ponto de partida é o Wi-Fi corporativo. Isso acontece porque o problema é fácil de entender, comum no dia a dia e geralmente tem impacto direto na segurança.
Substituir uma senha compartilhada por WPA2-Enterprise ou WPA3-Enterprise já representa um avanço relevante. Com essa mudança, o acesso passa a ser individualizado. A empresa pode remover usuários desligados, aplicar políticas por grupo, exigir certificados para dispositivos corporativos e manter uma rede separada para visitantes.
A rede guest deve ser realmente isolada. Não basta criar um SSID com outro nome se ele ainda alcança recursos internos. Visitantes precisam ter acesso somente à internet, e não a servidores, impressoras, compartilhamentos ou sistemas administrativos.
Esse cuidado é especialmente importante em ambientes com salas de reunião, recepção, terceiros frequentes ou equipes híbridas. O Wi-Fi deixou de ser apenas uma comodidade. Ele é uma porta de entrada para a rede corporativa.
Rede cabeada: portas físicas também precisam de controle
Embora o Wi-Fi costume receber mais atenção, a rede cabeada também representa risco. Uma porta ativa em uma sala de reunião, uma baia compartilhada ou uma área de recepção pode permitir que um dispositivo desconhecido acesse a rede interna.
Por isso, portas sem uso devem ser desativadas. Portas em áreas expostas devem ter autenticação ou, no mínimo, segmentação restritiva. Em ambientes com maior maturidade, o 802.1X pode ser aplicado também na rede cabeada, exigindo autenticação antes da liberação da porta.
Nem todos os dispositivos suportam 802.1X. Impressoras, câmeras, telefones IP, catracas e equipamentos legados podem exigir exceções. Nesses casos, é comum usar MAB, ou MAC Authentication Bypass, em que o endereço MAC do dispositivo é usado para autorização.
Mas MAB deve ser tratado como exceção, não como regra. Endereço MAC pode ser falsificado. Por isso, dispositivos autorizados por MAC devem permanecer em redes restritas, com regras claras de comunicação e documentação adequada.
Solicite uma avaliação técnica para NAC
Alta disponibilidade e operação
Ao implantar NAC, o servidor RADIUS ou a plataforma de controle de acesso passa a ser um componente importante da infraestrutura. Se ele ficar indisponível, novos dispositivos podem ter dificuldade para autenticar.
Por isso, mesmo em empresas menores, é importante pensar em disponibilidade, backup de configuração, monitoramento e plano de contingência. Quando possível, o ideal é ter RADIUS primário e secundário configurados nos switches e access points.
Também é necessário decidir como a rede deve se comportar em caso de falha. Algumas empresas optam por fail-open, liberando acesso se o servidor de autenticação não responder. Essa abordagem reduz impacto operacional, mas aumenta risco. Em áreas críticas, normalmente o mais seguro é evitar esse comportamento. Em áreas menos sensíveis, a decisão deve ser documentada e aceita como risco.
A segurança do NAC depende menos de “ativar uma funcionalidade” e mais de desenhar bem autenticação, autorização, segmentação, monitoramento e operação.
Monitoramento: quem conectou, onde e quando?
Um dos maiores benefícios do NAC é a visibilidade. Quando bem implementado, ele ajuda a responder perguntas importantes durante uma investigação.
A empresa passa a ter registros de autenticação, dispositivo, usuário, switch, porta física, access point, SSID, horário, VLAN atribuída e política aplicada. Esses eventos podem ser enviados para um SIEM ou ferramenta de monitoramento, como Wazuh, Microsoft Sentinel, Splunk, QRadar ou outra solução já utilizada pela empresa.
Essa visibilidade permite detectar comportamentos suspeitos, como falhas repetidas de autenticação, dispositivos desconhecidos, tentativas fora de horário ou conexões em locais incomuns.
Em segurança, não basta bloquear. Também é preciso enxergar.
Como começar sem complicar demais
A implantação de NAC não precisa começar como um projeto grande e caro. Para PMEs, o caminho mais seguro é gradual.
O primeiro passo é fazer um diagnóstico. A empresa precisa entender quais switches e access points possui, se eles suportam 802.1X, quais redes existem, quais dispositivos estão conectados, quais equipamentos não suportam autenticação moderna e quais áreas representam maior risco.
Depois, o ideal é criar um piloto. O Wi-Fi corporativo costuma ser um bom ponto inicial, principalmente quando a empresa ainda usa senha compartilhada. Em seguida, podem ser tratados os dispositivos corporativos, certificados, rede de visitantes e segmentação de impressoras e IoT.
A rede cabeada pode entrar em uma segunda fase, começando por áreas mais expostas, como salas de reunião, recepção e pontos de rede compartilhados.
Um roadmap simples pode seguir esta ordem:
| Etapa | Objetivo |
|---|---|
| Diagnóstico | Entender equipamentos, redes, usuários e riscos |
| Piloto no Wi-Fi | Testar WPA2/WPA3-Enterprise com grupo controlado |
| Segmentação | Separar colaboradores, visitantes, IoT e impressoras |
| Certificados | Fortalecer autenticação de dispositivos corporativos |
| Portas cabeadas | Proteger áreas expostas e pontos críticos |
| Monitoramento | Enviar logs para SIEM e criar alertas |
| Expansão gradual | Ampliar o controle com menor risco operacional |
Esse caminho reduz a chance de indisponibilidade e permite amadurecer a implantação com segurança.
Exemplo prático para uma empresa pequena
Imagine uma empresa com 80 colaboradores, escritório físico, Wi-Fi corporativo, rede de visitantes, servidores internos, impressoras e alguns sistemas em nuvem.
Nesse cenário, um bom primeiro passo seria substituir o Wi-Fi com senha compartilhada por WPA2/WPA3-Enterprise, usando autenticação integrada ao diretório da empresa. Notebooks corporativos poderiam autenticar com certificado digital, enquanto visitantes ficariam em uma rede separada, com acesso apenas à internet.
Em paralelo, impressoras e dispositivos IoT deveriam ser movidos para redes específicas, com regras limitando a comunicação ao mínimo necessário. Salas de reunião e pontos de rede expostos poderiam receber controles adicionais ou VLAN restrita.
Com logs centralizados, a empresa passaria a ter mais clareza sobre quem conectou, em qual ponto da rede e qual política foi aplicada. Esse modelo já melhora bastante a maturidade sem exigir uma implantação complexa logo no início.
Checklist rápido para avaliar sua rede
Antes de iniciar um projeto de NAC, vale responder algumas perguntas:
- Sua empresa ainda usa senha compartilhada no Wi-Fi corporativo?
- A rede de visitantes é realmente isolada da rede interna?
- Portas de rede sem uso ficam desativadas?
- Salas de reunião possuem pontos de rede ativos?
- Impressoras, câmeras e IoT estão segmentados?
- Existe log de quem conectou, quando e por onde?
- É possível remover acesso de um colaborador desligado sem trocar a senha do Wi-Fi?
- Seus switches e access points suportam 802.1X?
- Existe RADIUS, NPS ou alguma solução NAC disponível?
- A empresa já testou se um dispositivo desconhecido consegue acessar a rede?
Se muitas respostas forem “não” ou “não sei”, sua empresa pode ter uma exposição relevante na rede interna.
Conclusão
Para pequenas e médias empresas, NAC não precisa ser tratado como um projeto distante ou excessivamente complexo. Ele deve ser visto como uma camada prática de segurança para controlar quem acessa a rede, reduzir dispositivos desconhecidos, proteger o Wi-Fi corporativo e dificultar movimentação lateral.
Firewall protege a borda. EDR protege endpoints. Backup ajuda na recuperação. Mas a rede interna também precisa de controle.
A pergunta que toda empresa deveria fazer é simples:
quem consegue conectar na minha rede hoje — e como eu consigo provar isso?
Se essa resposta não estiver clara, este é um bom momento para avaliar sua arquitetura de rede.
A Networksec pode ajudar sua empresa a realizar um diagnóstico de segurança em Wi-Fi corporativo, rede cabeada, segmentação, RADIUS, NAC, 802.1X e exposição de dispositivos internos.
Solicite uma avaliação inicial e descubra quais pontos da sua rede precisam de atenção
Checklist gratuito
Preparamos um checklist com 20 perguntas para ajudar pequenas e médias empresas a identificarem riscos em Wi-Fi corporativo, portas de rede, visitantes, terceiros, impressoras e dispositivos IoT.
Solicitar checklist gratuito de segurança de rede
Diagnóstico inicial
Quer entender se sua empresa está exposta por falhas no Wi-Fi, portas cabeadas, segmentação ou ausência de controle de acesso?
A Networksec pode avaliar seu ambiente e indicar um plano gradual de melhoria.
Fontes e referências
IEEE 802.1X — Port-Based Network Access Control Referência técnica sobre 802.1X como padrão de controle de acesso à rede baseado em porta.
https://1.ieee802.org/security/802-1x/
Microsoft — Network Policy Server (NPS) Documentação sobre o NPS como implementação de servidor RADIUS para autenticação, autorização e accounting.
https://learn.microsoft.com/en-us/windows-server/networking/technologies/nps/nps-top
Microsoft — Extensible Authentication Protocol (EAP) Documentação sobre EAP, utilizado em cenários de autenticação de rede, incluindo 802.1X.
Cisco — What Is Network Access Control (NAC)? Material introdutório sobre o conceito de NAC e controle de acesso à rede.
https://www.cisco.com/site/us/en/learn/topics/security/what-is-network-access-control-nac.html
Volexity — The Nearest Neighbor Attack Análise técnica sobre o ataque em que o APT28 usou redes Wi-Fi próximas comprometidas para acessar a rede de uma organização-alvo.
Wired — Russian Spies Jumped From One Network to Another Via Wi-Fi Matéria jornalística explicando o caso do ataque via redes Wi-Fi próximas.
https://www.wired.com/story/russia-gru-apt28-wifi-daisy-chain-breach
Group-IB — UNC2891 Bank Heist Análise sobre o caso em que um Raspberry Pi com conexão 4G foi conectado fisicamente à infraestrutura de ATM de um banco.
https://www.group-ib.com/blog/unc2891-bank-heist/
TechRadar — Raspberry Pi with 4G modem used in ATM hacking attempt Matéria resumindo o caso UNC2891 e o uso de Raspberry Pi com 4G como ponto de acesso clandestino.