CISA confirma ataques a mais de 100 sistemas de água nos EUA em julho

A agência de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → dos Estados Unidos, a CISA, confirmou ter observado ataques a mais de 100 sistemas expostos à internet no setor de água e tratamento de esgoto do país durante julho, segundo reportagem do TechCrunch. O número dá dimensão real a uma onda de invasões que já havia sido reportada em Michigan, Minnesota e ao menos outros cinco estados.

O alvo central não foram servidores web ou bancos de dados↳Banco de dados134 conteúdosSQL ou NoSQL: eis a questão!!Data · mar 2020Banco de dados: como organizar e dar segurança para milhões de dados de loteriasData · mai 20215 serviços gratuitos na cloud para bancos de dados PostgresData · fev 2025Ver tudo em Data → corporativos, e sim os controladores lógicos programáveis (PLCs), os computadores industriais que comandam bombas, válvulas, dosagem de químicos e outros equipamentos físicos em estações de tratamento. É a camada onde o software encontra o mundo real, e é justamente aí que a superfície de ataque costuma ser mais negligenciada.

O que os invasores conseguiram fazer

Segundo a CISA, os ataques atingiram PLCs de vários fabricantes: Rockwell, Schneider Electric e, mais recentemente, Siemens. A agência já havia relatado que parte das intrusões usa ferramentas de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → alimentadas por informação pública para gerar scripts capazes de explorar PLCs Siemens vulneráveis, um sinal de como a automação está baixando a barreira de entrada para ataques a sistemas industriais.

O ponto mais preocupante do relatório: em alguns casos, os invasores conseguiram modificar os PLCs para desativar processos de desligamento e alarmes. Na prática, isso significa alterar a lógica de controle de um sistema físico sem que o operador seja notificado, criando o que a CISA descreveu como "condições inseguras". Não é vazamento de dados. É a possibilidade de manipular equipamento que trata a água que uma comunidade bebe.

Até agora, o impacto no fornecimento de água foi limitado, mas houve interrupções e paralisações enquanto equipes de resposta a incidentes investigavam as invasões. Boa parte das comunidades afetadas fica em áreas rurais ou isoladas, onde uma única estação atende uma grande extensão territorial, o que amplia o alcance de qualquer disrupção.

Quem está por trás

Relatos citando autoridades americanas apontam que a inteligência dos EUA acredita que o Irã provavelmente está por trás dos ataques, descritos como em grande parte oportunistas, possivelmente como reação à guerra liderada por EUA e Israel contra o país. As autoridades, no entanto, não fizeram uma atribuição concreta e definitiva.

O caso se soma a um cenário mais amplo de tensão geopolítica no ciberespaço. Autoridades americanas já alertaram que hackers ligados à China plantaram malware destrutivo em infraestrutura crítica, pronto para ser ativado em caso de invasão de Taiwan. A Rússia, por sua vez, foi associada a ataques contra fornecedores de água e redes de energia na Europa, vistos como testes contra a aliança da OTAN.

O padrão técnico que se repete: OT exposta à internet

O detalhe que devs de infraestrutura precisam internalizar é a expressão "sistemas expostos à internet". PLCs e sistemas SCADA foram projetados décadas atrás para operar em redes isoladas (air-gapped), sem qualquer expectativa de estarem acessíveis publicamente. Muitos protocolos industriais clássicos, como Modbus, não têm autenticação nem criptografia por design.

O problema surge quando esses equipamentos ganham conectividade para monitoramento remoto, integração com nuvem ou simples conveniência operacional, e acabam ficando alcançáveis pela internet aberta. Ferramentas como o Shodan catalogam rotineiramente milhares de PLCs e interfaces HMI acessíveis publicamente ao redor do mundo. É esse tipo de exposição que os ataques oportunistas descritos pela CISA exploram: não é preciso um zero-day sofisticado quando o controlador responde a qualquer requisição vinda de fora.

Por que isso importa para quem constrói software no Brasil

O Brasil tem estrutura de saneamento fragmentada, com centenas de operadores municipais e companhias estaduais como Sabesp, Copasa e Sanepar, além de concessões privadas em expansão após o novo marco legal do saneamento. Muitas dessas operações passam por processos de digitalização e telemetria, o que significa mais PLCs e sensores IoT conectados a redes que, historicamente, não foram pensadas para resistir a ataques.

Para o dev ou engenheiro que trabalha com utilities, automação industrial ou IoT no país, o episódio americano é um estudo de caso direto. Alguns pontos práticos que o incidente reforça:

• Segmentação de rede é inegociável. Redes OT (tecnologia operacional) devem ser fisicamente ou logicamente separadas de redes de TI corporativa, seguindo modelos como a arquitetura de referência Purdue. PLC nunca deveria estar acessível diretamente da internet.
• Inventário e visibilidade. Muitas organizações sequer sabem quantos dispositivos têm expostos. Um levantamento com ferramentas de descoberta e a verificação da própria superfície externa (inclusive via Shodan) é o passo zero.
• Autenticação e patching de PLCs. Fabricantes como Siemens, Schneider e Rockwell publicam avisos de segurança regularmente. Manter firmware atualizado e trocar credenciais padrão continua sendo básico ignorado com frequência.
• Monitoramento de alterações de lógica. Como os invasores mexeram na própria programação dos controladores, detectar mudanças não autorizadas na lógica de controle passa a ser tão importante quanto detectar tráfego malicioso.

O que fica em aberto

A CISA não detalhou publicamente todas as vulnerabilidades específicas exploradas, e a atribuição ao Irã segue sem confirmação oficial. Também não está claro quantos dos sistemas atingidos já foram totalmente remediados. O que o episódio deixa evidente é que a fronteira da cibersegurança se deslocou definitivamente do escritório para o chão de fábrica e para as estações de infraestrutura, e que a chegada de IA na geração de scripts de ataque tende a acelerar a escala do problema. Para quem escreve ou opera software que toca o mundo físico, tratar segurança de OT como uma preocupação de segunda linha deixou de ser uma opção.

Fonte: TechCrunch