Controladores Siemens S7 são alvo de ataques em infraestruturas críticas
Órgãos de segurança dos Estados Unidos alertaram para uma campanha ativa contra controladores lógicos programáveis (PLCs) Siemens da linha S7, presentes em operações essenciais de abastecimento de água, tratamento de esgoto e distribuição de energia. O aviso foi emitido conjuntamente por entidades como NSA, FBI, CISA e Departamento de Energia e representa uma atualização de um comunicado divulgado anteriormente.
A nova avaliação também amplia o conjunto de equipamentos potencialmente afetados. Além dos dispositivos Siemens, foram incluídos PLCs fabricados pela Rockwell Automation e pela Schneider Electric. Esses equipamentos controlam processos industriais de forma automatizada e, quando comprometidos, podem provocar interrupções, alterações operacionais e riscos à segurança física.
Ataques já atingem empresas de água e saneamento
Em um alerta publicado separadamente em 30 de julho, a CISA informou ter identificado crescimento expressivo de incidentes contra organizações do setor de água e esgoto. Em alguns casos, os invasores alteraram senhas de acesso para impedir a atuação dos operadores e modificaram endereços IP, fazendo com que determinados dispositivos perdessem a comunicação com a rede de controle.
As consequências incluíram a emissão de alertas de fervura da água e a necessidade de manter processos industriais em modo manual por períodos prolongados. Embora investigadores tenham levantado a possibilidade de uma relação com agentes ligados ao Irã, as autoridades norte-americanas ainda não atribuíram oficialmente os ataques ao governo iraniano.
Como os invasores conseguem acessar os PLCs
A principal porta de entrada identificada é a exposição indevida dos controladores à internet. Muitos PLCs são instalados com configurações inseguras, sem segmentação adequada e com mecanismos de acesso remoto abertos. A partir de servidores alugados em outros países, os criminosos conseguem localizar esses equipamentos e estabelecer conexão utilizando ferramentas legítimas de programação industrial.
No caso dos controladores Siemens, por exemplo, os atacantes podem recorrer ao TIA Portal, software utilizado normalmente por engenheiros e técnicos autorizados. O uso de aplicações oficiais dificulta a identificação da atividade maliciosa, já que o tráfego pode parecer semelhante ao de uma manutenção convencional.
Depois de obter acesso, o invasor pode copiar arquivos de projeto, alterar a lógica programada, apagar configurações ou substituir parâmetros importantes. Também é possível manipular informações apresentadas nas telas dos operadores, criando uma falsa impressão de normalidade ou escondendo mudanças realizadas no processo.
Um dos casos investigados foi especialmente grave: a lógica responsável por desligamentos críticos e pela emissão de alarmes teria sido desativada. Com isso, determinados sistemas poderiam continuar funcionando em condições perigosas sem alertar a equipe responsável.
Riscos ultrapassam o ambiente digital
O comprometimento de um PLC não representa apenas uma violação de dados. Esses dispositivos atuam diretamente sobre bombas, válvulas, motores, sensores e sistemas de proteção. Uma alteração aparentemente pequena no código pode modificar a pressão de uma rede, interromper o tratamento de água ou impedir o acionamento de mecanismos de emergência.
Por esse motivo, ambientes industriais exigem uma abordagem diferente da aplicada a redes corporativas. A disponibilidade e a segurança operacional são tão importantes quanto a confidencialidade das informações. Em determinadas situações, desligar um equipamento para conter um incidente pode causar impactos imediatos à população ou à produção.
Medidas recomendadas para reduzir a exposição
As agências norte-americanas recomendam retirar os PLCs da internet pública e impedir que sejam acessados diretamente por endereços externos. Quando a manutenção remota for indispensável, ela deve ocorrer por meio de gateways protegidos, redes privadas virtuais e controles específicos para cada usuário e dispositivo.
Também é necessário adotar regras rigorosas de firewall, limitar a comunicação entre redes administrativas e industriais e permitir somente os serviços indispensáveis. A segmentação reduz o risco de que um invasor, após comprometer um computador corporativo, alcance diretamente os sistemas de automação.
As credenciais padrão devem ser substituídas imediatamente por senhas exclusivas e robustas. Para acessos externos, a autenticação multifator deve ser tratada como requisito básico, principalmente em contas de administradores, fornecedores e equipes de manutenção.
Verificação da lógica e dos arquivos de projeto
Outra providência essencial é comparar regularmente a lógica em execução no PLC com uma versão confiável, previamente validada e armazenada em local protegido. Diferenças inesperadas podem indicar alteração não autorizada, mesmo quando o equipamento continua funcionando normalmente.
Os arquivos de projeto precisam contar com controle de versões, registro de responsáveis e cópias de segurança offline ou protegidas contra alteração. A organização deve saber qual programa está instalado em cada controlador, quando foi modificado e quem autorizou a mudança.
Atenção às conexões celulares e portas industriais
Conexões por modem celular são apontadas como um ponto cego frequente em ambientes industriais. Elas podem criar caminhos alternativos de acesso que não aparecem nos controles tradicionais da rede corporativa. Por isso, é importante inventariar esses dispositivos, revisar suas configurações e desativar linhas que não tenham finalidade operacional.
As equipes de segurança também devem examinar registros de comunicação em busca de tráfego incomum nas portas 44818, 2222, 102 e 502, frequentemente associadas a protocolos e serviços de automação industrial. A presença de atividade nessas portas não confirma um ataque, mas pode justificar uma investigação mais detalhada.
Monitoramento contínuo e resposta coordenada
A proteção de PLCs não deve depender apenas de antivírus ou ferramentas convencionais de segurança. É necessário acompanhar alterações de configuração, tentativas de login, conexões remotas, mudanças de lógica e modificações nos parâmetros de operação.
Empresas de infraestrutura crítica devem manter um plano de resposta específico para incidentes em tecnologia operacional. Esse plano precisa definir quando isolar um controlador, como retornar a uma configuração segura, quem autoriza a operação manual e como preservar evidências para investigação.
Treinamentos regulares também ajudam a reduzir erros. Operadores, engenheiros e prestadores de serviço devem reconhecer acessos incomuns, alterações não programadas e comportamentos anormais nos painéis de controle. A combinação de segmentação, autenticação forte, validação de projetos e monitoramento permanente é fundamental para impedir que uma falha de configuração se transforme em um incidente de grande impacto.