CISA alerta para ataques cibernéticos contra sistemas de água nos EUA
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) emitiu um alerta urgente sobre uma ofensiva coordenada contra sistemas de água e esgoto, tendo como principal alvo controladores lógicos programáveis (PLCs) conectados diretamente à internet. O aviso veio à tona após uma série de incidentes que afetaram mais de 30 sistemas de água comunitários no estado de Minnesota, entre os dias 26 e 27 de julho, provocando interrupções operacionais e exigindo resposta emergencial das autoridades locais.
Como os ataques foram conduzidos
De acordo com o comunicado da CISA, os invasores concentraram seus esforços em PLCs expostos, dispositivos que comandam processos físicos como bombas, válvulas, níveis de reservatórios e estações de tratamento. Uma vez que obtiveram acesso, os atacantes:
– Alteraram senhas administrativas, impedindo o acesso dos operadores legítimos;
– Modificaram endereços IP e configurações de rede para isolar os dispositivos e desconectá‑los da internet;
– Realizaram outras mudanças de configuração capazes de interromper ou degradar a operação normal dos sistemas.
Essas ações, embora aparentemente simples do ponto de vista técnico, têm um potencial enorme de impacto, já que afetam diretamente a infraestrutura essencial de fornecimento de água tratada para a população.
Alvos vão de pequenas a grandes operadoras
Um ponto enfatizado pela CISA é que o ataque não se limitou a organizações pequenas ou com baixa maturidade em segurança. Tanto concessionárias de pequeno porte quanto entidades com programas de cibersegurança mais robustos foram atingidas, demonstrando que a simples exposição de dispositivos críticos na internet representa um risco severo, independentemente do tamanho da organização ou do orçamento de TI.
Os sistemas de água e esgoto, frequentemente operados por entes municipais ou regionais, tendem a ter ambientes híbridos, combinando tecnologia da informação (TI) com tecnologia operacional (OT). Nesses cenários, falhas de segmentação e dispositivos conectados de forma improvisada tornam‑se brechas ideais para atacantes.
O papel dos modems celulares “invisíveis”
A CISA chamou atenção para um ponto cego recorrente: ativos de tecnologia operacional conectados por modems celulares não documentados. Esses equipamentos muitas vezes são instalados por operadores de campo, fornecedores ou integradores de sistemas, sem a devida inclusão em inventários oficiais ou políticas de segurança.
Esses modems permitem o acesso remoto para manutenção ou monitoramento, mas, quando mal configurados ou esquecidos, expõem diretamente PLCs e outros controladores à internet pública. Isso abre espaço para:
– Desfiguração de interfaces e painéis de controle;
– Alterações indevidas em parâmetros de operação;
– Paradas não planejadas de equipamentos;
– Em casos extremos, danos físicos a bombas, motores e estruturas.
Em infraestruturas críticas, esse tipo de exposição representa não apenas um risco operacional, mas também uma ameaça à segurança pública.
Dimensão da exposição global de PLCs
Um levantamento recente de uma empresa de busca em cibersegurança revelou a extensão do problema. De acordo com o estudo, estavam acessíveis na internet pública:
– Mais de 4.100 hosts associados a controladores Rockwell Automation/Allen‑Bradley;
– Outros 4.100 hosts vinculados a equipamentos Siemens;
– Mais de 2.000 hosts da Schneider Electric.
O relatório destacou ainda que muitos dos controladores da linha MicroLogix 1400, da Rockwell Automation, operam com firmware já em fim de vida útil, sem atualizações de segurança disponíveis. Além disso, quase metade dos dispositivos Rockwell expostos eram alcançáveis por meio de grandes operadoras de telecomunicações, o que reforça a hipótese da existência de modems celulares não catalogados conectando esses ativos diretamente à rede pública.
Resposta de emergência em Minnesota
Diante do ataque, a agência de Serviços de TI de Minnesota (MNIT) ativou o plano estadual de resposta a incidentes cibernéticos. As autoridades classificaram a ofensiva como um “ataque cibernético coordenado” direcionado à tecnologia operacional de dezenas de sistemas de água comunitários.
Vários municípios relataram falhas em equipamentos, o que obrigou algumas operadoras a assumirem o controle manual de bombas e estruturas essenciais para manter o abastecimento. Em paralelo, foram compartilhadas informações de inteligência de ameaças com as entidades afetadas, bem como orientações técnicas para restaurar as operações com segurança.
Ferramentas de análise também foram usadas para identificar atividades suspeitas, como padrões de acesso anômalos, alterações de configurações e sinais de comprometimento em redes OT.
Indicadores de comprometimento e busca de ameaças
Para apoiar a resposta, foram disponibilizados indicadores de comprometimento (IoCs) relacionados aos ataques, incluindo:
– Endereços IP associados aos invasores;
– Strings específicas de user‑agent usadas em tentativas de login e exploração;
– Padrões de comandos enviados a PLCs;
– Configurações alteradas de forma recorrente.
Esses IoCs permitem que equipes de segurança façam uma varredura em seus ambientes em busca de sinais de invasão, mesmo em locais onde ainda não houve interrupções perceptíveis. A identificação precoce de um comprometimento é crucial para evitar impactos mais amplos.
Recomendações imediatas da CISA
Como resposta prática, a CISA recomendou uma série de medidas urgentes para proprietários, operadores e integradores de infraestruturas críticas, especialmente no setor de água e esgoto:
1. Remover PLCs e demais ativos OT da exposição direta na internet sempre que possível.
2. Implementar acesso remoto somente por meio de VPNs seguras ou dispositivos de gateway dedicados, com autenticação forte e monitoramento de acessos.
3. Alterar imediatamente senhas padrão ou fracas, adotando políticas de senhas complexas e, quando viável, autenticação multifator.
4. Restringir o acesso remoto a listas específicas de endereços IP permitidos, reduzindo a superfície de ataque.
5. Mapear e documentar todos os modems celulares e equipamentos de acesso remoto, integrando‑os aos inventários de ativos e às políticas de segurança.
6. Aplicar atualizações de firmware e patches de segurança sempre que disponíveis e autorizados pelos fabricantes.
Para proprietários de controladores Rockwell Automation MicroLogix 1400 que tenham perdido o acesso em função da alteração de senha por invasores, a orientação é seguir os procedimentos oficiais do fabricante para recuperação segura.
Consequências para a segurança pública e a confiança da população
Ataques a sistemas de água não são apenas um problema de TI. Eles impactam diretamente a segurança da população, a confiança em serviços públicos essenciais e a credibilidade das autoridades locais. Mesmo quando não há contaminação ou dano físico às instalações, interrupções no fornecimento, necessidade de racionamento emergencial ou falhas em sistemas de bombeamento podem gerar pânico, desinformação e custos elevados para remediação.
Além disso, episódios desse tipo tendem a incentivar novos ataques, pois demonstram que determinados setores permanecem vulneráveis. A falta de visibilidade completa sobre a infraestrutura OT e a presença de equipamentos antigos ou mal configurados agravam esse cenário.
Por que sistemas de água são alvos tão atrativos?
Do ponto de vista dos criminosos, sistemas de água e esgoto reúnem diversas características que os tornam alvos atraentes:
– São serviços essenciais e não podem parar por longos períodos;
– Frequentemente dependem de orçamentos públicos limitados, o que leva à postergação de investimentos em segurança;
– Operam com tecnologias legadas, muitas delas desenvolvidas antes da popularização da internet;
– Têm grandes superfícies de ataque, espalhadas por várias instalações geograficamente distribuídas.
Mesmo quando o objetivo não é diretamente financeiro, ataques contra esses sistemas podem ser usados como demonstração de capacidade técnica, instrumento de pressão política ou tentativa de causar desordem e instabilidade.
Boas práticas de médio e longo prazo para operadores de infraestrutura crítica
Além das ações emergenciais, é fundamental que organizações responsáveis por águas e esgoto adotem estratégias estruturadas de segurança cibernética para o ambiente OT, como:
– Inventário completo de ativos OT (PLCs, RTUs, sensores, gateways, modems, estações de engenharia) com atualização contínua;
– Segmentação rigorosa de rede, separando ambientes corporativos (TI) dos ambientes industriais (OT), com zonas desmilitarizadas e controles de firewall específicos;
– Monitoramento contínuo de tráfego OT, com uso de ferramentas capazes de entender protocolos industriais e identificar anomalias;
– Planos de resposta a incidentes específicos para OT, incluindo procedimentos de operação manual segura e comunicação com a população;
– Treinamento de operadores e técnicos de campo em práticas seguras de acesso remoto, uso de senhas e instalação de dispositivos;
– Testes periódicos de segurança, como avaliações de vulnerabilidade e simulações de incidentes focadas em sistemas industriais.
Lições que extrapolam as fronteiras dos EUA
Embora o alerta da CISA esteja direcionado a sistemas de água nos Estados Unidos, as lições extraídas desse episódio são válidas para qualquer país que dependa de infraestrutura crítica conectada. Empresas privadas, concessionárias e órgãos públicos que atuam em saneamento, energia, transporte e outras áreas essenciais enfrentam desafios semelhantes:
– Equipamentos antigos expostos à internet por conveniência;
– Dependência de acesso remoto sem controles robustos;
– Falta de integração entre equipes de TI, OT e gestão de riscos.
Organizações que ainda não avaliaram a exposição de seus ambientes industriais estão particularmente vulneráveis. Um passo inicial eficaz é realizar varreduras externas para identificar dispositivos acessíveis pela internet, cruzando esses achados com o inventário interno (quando existe) e corrigindo rapidamente qualquer exposição indevida.
O que esperar dos próximos anos
À medida que a transformação digital avança no setor de infraestrutura crítica, a tendência é que mais sistemas de controle, antes isolados, passem a ser conectados para fins de telemetria, automação e redução de custos. Sem um aumento proporcional nos investimentos em segurança, a superfície de ataque continuará crescendo.
No médio prazo, a tendência é que órgãos reguladores e governos passem a exigir padrões mínimos de cibersegurança para concessões e contratos de serviços essenciais, incluindo:
– Requisitos formais de proteção para redes OT;
– Auditorias periódicas de conformidade;
– Obrigações de reporte rápido de incidentes;
– Planos de continuidade e resiliência cibernética.
Enquanto isso, o episódio em Minnesota funciona como um sinal de alerta: a conectividade descontrolada de sistemas industriais pode transformar uma facilidade operacional em uma vulnerabilidade crítica. Operadores que tratam a segurança cibernética como parte integrante da segurança física e da continuidade do serviço estarão mais preparados para enfrentar esse novo cenário de ameaças.