CISA aponta escalada de ataques cibernéticos contra sistemas de água nos EUA
A Agência de Segurança de Cibersegurança e Infraestrutura dos Estados Unidos (CISA) emitiu um alerta emergencial sobre uma nova onda de ataques digitais direcionados a sistemas de água e esgoto, com foco especial em controladores lógicos programáveis (PLCs) expostos diretamente à internet. O aviso foi publicado após uma série de incidentes que afetou mais de 30 sistemas de abastecimento de água comunitários no estado de Minnesota, em ataques iniciados no domingo, 26 de julho, e prolongados até a segunda-feira, 27 de julho.
Segundo o comunicado, os invasores exploraram PLCs acessíveis pela internet pública, sem camadas adequadas de proteção, para tomar controle parcial dos equipamentos responsáveis por automatizar e monitorar operações essenciais. Entre as ações observadas, os atacantes alteraram senhas administrativas, impedindo o acesso legítimo de operadores, modificaram endereços IP dos dispositivos para desconectá-los de redes externas e realizaram outras mudanças de configuração capazes de perturbar o funcionamento normal das estações de tratamento e distribuição de água.
A CISA ressalta que o problema não está restrito a pequenas concessionárias ou entidades com baixa maturidade em segurança. De acordo com a agência, organizações de todos os portes foram alvo, inclusive operadores que já mantinham programas estruturados de cibersegurança. Isso evidencia que a principal falha, neste caso, está na exposição indevida de ativos de tecnologia operacional (OT) à internet, e não apenas na ausência de políticas de segurança.
Um ponto crítico destacado pela CISA são os dispositivos OT que permanecem “invisíveis” para as equipes de TI e de segurança, como modems celulares instalados por operadores de campo, fornecedores ou integradores de sistemas, muitas vezes sem documentação adequada. Esses modems criam rotas alternativas para a internet, driblando firewalls e demais camadas de proteção projetadas para redes corporativas tradicionais. Quando um PLC ou outro equipamento industrial é conectado a esses modems, passa a ficar acessível a qualquer pessoa com conhecimento mínimo de ferramentas de varredura, tornando-se um alvo fácil para ataques.
A exposição de ativos OT desse tipo abre espaço para diferentes cenários de risco: desde simples desfiguração de interfaces ou painéis de controle, passando por alterações de parâmetros de funcionamento e desligamentos não planejados, até a possibilidade de danos físicos a bombas, válvulas e outros equipamentos. Em ambientes de água e esgoto, isso pode resultar em interrupções de fornecimento, falhas no tratamento adequado, impactos ambientais e até riscos à saúde pública.
Diante desse cenário, a recomendação prioritária da CISA é clara: PLCs e demais dispositivos de tecnologia operacional não devem estar diretamente acessíveis pela internet. A orientação é que proprietários, operadores e integradores de infraestruturas críticas removam o acesso direto desses equipamentos à rede pública o mais rápido possível. Em situações em que isso não possa ser feito de imediato, a agência indica o uso de conexões seguras via VPN ou de gateways dedicados para acesso remoto, sempre com autenticação robusta e camadas adicionais de proteção.
Além disso, a CISA enfatiza a necessidade de práticas básicas, porém ainda frequentemente negligenciadas: alteração imediata de senhas padrão de fábrica, aplicação de políticas de senhas fortes e exclusivas para cada sistema, segmentação de redes (separando ambientes corporativos de ambientes industriais) e limitação rigorosa de acesso remoto. Uma das medidas sugeridas é o uso de listas de permissão (allowlists) de endereços IP, permitindo que apenas origens previamente autorizadas se conectem aos PLCs e sistemas OT sensíveis.
Para proprietários de controladores da linha Rockwell Automation MicroLogix 1400, a agência orienta que sejam seguidos os procedimentos oficiais do fabricante para recuperação de acesso em casos de alteração maliciosa de senha ou bloqueio de credenciais legítimas. Isso inclui processos específicos de reset e, quando possível, atualização de firmware para versões ainda suportadas, corrigindo vulnerabilidades conhecidas.
A dimensão do problema foi evidenciada por um levantamento de exposição realizado por uma empresa especializada em busca e mapeamento de ativos de cibersegurança. O estudo identificou mais de 4.100 hosts associados a equipamentos Rockwell Automation/Allen‑Bradley, número semelhante para dispositivos Siemens, e mais de 2.000 hosts da Schneider Electric acessíveis diretamente a partir da internet pública. Esses ativos incluem, em muitos casos, controladores industriais utilizados em setores críticos, entre eles água, energia, manufatura e infraestrutura urbana.
O relatório também apontou que inúmeros controladores MicroLogix 1400 ainda operam com versões de firmware em fim de vida útil (EoS), isto é, que não recebem mais correções de segurança do fabricante. Isso amplia de forma significativa a superfície de ataque, pois vulnerabilidades antigas, já documentadas e amplamente conhecidas, permanecem exploráveis. Outro ponto de atenção é que quase metade dos dispositivos Rockwell expostos está conectada por meio de grandes operadoras de telecomunicações e serviços de conectividade, evidenciando exatamente o uso de modems celulares muitas vezes não catalogados pelas equipes de TI.
Em resposta à série de incidentes em Minnesota, a agência de Serviços de TI do estado (MNIT) acionou seu plano de resposta a incidentes para infraestrutura crítica. O órgão classificou o evento como um “ataque cibernético coordenado” contra a tecnologia operacional de mais de 30 sistemas comunitários de água. A coordenação estatal envolveu o suporte às concessionárias afetadas, o compartilhamento de informações sobre as técnicas e ferramentas utilizadas pelos invasores e a orientação passo a passo para a retomada segura das operações.
Diversos municípios relataram falhas e instabilidades em seus sistemas automatizados, o que obrigou equipes técnicas a migrarem temporariamente para a operação manual de válvulas, bombas e estações de controle. Embora essa medida emergencial tenha permitido a continuidade dos serviços em muitos casos, ela expôs outra fragilidade: a dependência excessiva da automação sem planos robustos de contingência. A necessidade de pessoal treinado para operar sistemas manualmente e de procedimentos claros para casos de falha digital se mostrou fundamental.
Além das ações emergenciais, foram compartilhados indicadores de comprometimento (IoCs) e orientações detalhadas de busca de ameaças, para que outras organizações de água e esgoto pudessem verificar se seus ambientes também haviam sido identificados ou sondados pelos mesmos grupos maliciosos. Esses indicadores incluem endereços IP suspeitos, padrões de autenticação anômalos, comandos específicos executados nos PLCs, alterações em parâmetros críticos e registros de tentativas de acesso fora de horário ou de localizações incomuns.
Para as organizações responsáveis por infraestrutura crítica, tanto nos EUA quanto em outros países, o alerta vai além do episódio em Minnesota e evidencia uma tendência preocupante: grupos de ameaça, incluindo desde cibercriminosos oportunistas até atores mais sofisticados, estão voltando sua atenção para sistemas industriais historicamente negligenciados em termos de proteção digital. O avanço da digitalização e da conectividade, sem um desenho seguro desde a origem, cria um terreno fértil para ataques com impacto direto no mundo físico.
No contexto de água e saneamento, alguns passos práticos se destacam como prioritários:
– realizar inventário completo de ativos OT, incluindo modems e conexões alternativas;
– remover ou restringir ao máximo qualquer exposição direta de PLCs e sistemas SCADA à internet;
– segmentar rigorosamente a rede, com firewalls específicos entre ambientes de TI e OT;
– implementar monitoramento contínuo de tráfego, buscando detectar comportamentos anômalos;
– manter firmware e softwares de supervisão atualizados, priorizando correções de segurança;
– treinar equipes de operação para reconhecer sinais de ataque e seguir procedimentos de resposta.
Também é essencial que gestores e decisores entendam que cibersegurança em infraestrutura crítica não é um tema restrito a TI: trata-se de risco operacional e de continuidade de serviço. Investimentos em proteção de PLCs, redes industriais e plataformas de supervisão devem ser vistos como parte do mesmo esforço que garante qualidade da água, confiabilidade do fornecimento e conformidade regulatória. Ignorar a dimensão cibernética hoje é abrir espaço para crises futuras com custo muito mais elevado.
Por fim, o caso de Minnesota reforça a importância de uma abordagem colaborativa entre governos, operadores de serviços essenciais e fornecedores de tecnologia. O compartilhamento rápido de informações técnicas, indicadores de ataque e boas práticas de defesa é decisivo para conter a propagação de incidentes. À medida que mais sistemas de água, energia e transporte se interconectam, a segurança desses ambientes deixa de ser uma preocupação isolada e se torna um componente central da resiliência das cidades e da sociedade como um todo.