Resumo executivo: Mais de 30 sistemas de abastecimento de água do Minnesota foram alvo de um ciberataque coordenado nos dias 26 e 27 de julho. Dias depois, o Michigan confirmou violações semelhantes em nove dos seus próprios sistemas de abastecimento de água. Este padrão demonstra como uma única falha de conceção na cibersegurança das tecnologias operacionais (OT) se tornou uma superfície de ataque a nível nacional.
A 30 de julho de 2026, o FBI e a EPA emitiram um PSA conjunto (Anúncio de Serviço Público; Alerta I-073026-PSA) com mais detalhes sobre o ataque em Minnesota. De acordo com o comunicado, os autores obtiveram acesso remoto a PLCs ligados à Internet e alteraram os seus endereços IP e palavras-passe, impedindo os operadores de monitorizar e controlar os sistemas. Pelo menos uma organização também encontrou ficheiros de projeto de PLC modificados após ter detetado discrepâncias na lógica ladder em vários locais, e o FBI observou que semelhanças nas configurações de rede fornecidas por terceiros podem ter permitido que os autores repetissem a mesma técnica em vários clientes.
No dia 1 de agosto, foi divulgado mais um ataque. Desta vez, o Departamento do Ambiente, dos Grandes Lagos e da Energia do Michigan confirmou ciberataques a nove dos seus sistemas de abastecimento de água, dias depois de o Minnesota ter comunicado violações semelhantes em todo o estado.
As autoridades federais apontaram o Irão como principal suspeito; no entanto, a atribuição de responsabilidade é preliminar e o FBI continua a investigar os incidentes ocorridos em ambos os estados.
Em todas as comunidades afetadas, o pessoal das obras públicas passaram a operar manualmente, permitindo que os serviços de água e de águas residuais continuassem sem interrupção, apesar de o controlo automatizado estar comprometido. Trata-se de um sucesso operacional, e os operadores do Minnesota merecem todo o crédito por isso. O recurso ao modo manual funcionou desta vez, mas pode não funcionar da próxima.
As infraestruturas críticas não podem, nem sempre, contar com a vigilância dos operadores das suas instalações para compensar a ausência de uma arquitetura segura.
Um padrão evitável, que se repete há anos
Embora fosse de certa forma conveniente considerar o ataque como um incidente isolado relacionado com o Irão, um caso pontual intimamente ligado às tensões existentes com o Irão, o ataque às infraestruturas críticas dos EUA constitui um padrão.
De acordo com um alerta conjunto da EPA, a CISA, o FBI, a Agência de Segurança Nacional (NSA), a EPA e outras entidades federais emitiram inúmeros alertas relativos a ciberataques contra redes de informação e sistemas de controlo de processos em sistemas de água e de águas residuais, perpetrados por ciberatores patrocinados por Estados. Para citar apenas alguns:
- Atores cibernéticos ligados ao Corpo da Guarda Revolucionária Islâmica (IRGC) do Governo iraniano
- Hacktivistas pró-Rússia
- Atores cibernéticos apoiados pelo Estado da República Popular da China , conhecidos como «Volt Typhoon», «Vanguard Panda» e outros nomes.
Os incidentes no Minnesota e no Michigan são apenas os dados mais recentes de um panorama de ameaças que as agências federais vêm a descrever, por escrito, pelo menos desde o final de 2023.
O acesso à água potável é um direito humano fundamental; uma estação de tratamento que não consiga verificar a sua própria dosagem de produtos químicos ou os seus controlos de pressão constitui uma crise de saúde pública nacional prestes a ocorrer.
Nas palavras do administrador da EPA, Lee Zeldin, a responsabilidade recai sobre pessoas que gerem as instalações. Os avisos são públicos há anos e os operadores não devem esperar por uma ordem federal para corrigir os seus sistemas.
Muitos PLCs, incluindo as unidades MicroLogix que estão no centro deste incidente, são equipamento antigo que podem já não receber atualizações de segurança, concebidos para o chão de fábrica e não para a Internet. Se estes controlos ficarem expostos, uma pequena intrusão causará perturbações operacionais reais em comunidades de todas as dimensões.
Como se manifesta este padrão no ataque de Minesotta
Um ataque típico à OT começa frequentemente com um e-mail de phishing que compromete um utilizador de TI ou um terminal. Em seguida, o atacante eleva os seus privilégios através do Active Directory, passa da rede de TI para o ambiente de OT, compromete uma estação de trabalho de engenharia e, por fim, obtém acesso aos PLCs para manipular ou perturbar os processos industriais.
No ataque de Minnesota (pelo menos), os atacantes ignoraram quase todos os passos. Ao que parece, os atacantes não precisaram de comprometer primeiro a rede informática da empresa; limitaram-se a encontrar e a explorar PLCs diretamente expostos à Internet.
Com base na informação disponível, é possível que os atacantes tenham obtido acesso administrativo aos PLCs ao explorarem credenciais predefinidas, palavras-passe fracas ou a ausência de políticas de MFA (autenticação multifator). Isto permitiu-lhes contornar a via tradicional de ataque de TI para OT, reduzindo significativamente o número de passos necessários para comprometer os controladores.
A cadeia de ataque demonstra por que razão os dispositivos de nível 0-1 nunca devem estar acessíveis à Internet.
Os controlos de rede não são suficientes para a tecnologia operacional
A cadeia de ataque demonstra por que razão os dispositivos de nível 0-1 nunca devem estar acessíveis à Internet.
No que diz respeito às melhores práticas em matéria de cibersegurança das redes de controlo industrial (OT), o FBI, a EPA e a CISA recomendam, com razão, eliminar a exposição à Internet, implementar firewalls, VPNs, segmentação de rede e políticas de autenticação robustas. Estes continuam a ser controlos fundamentais e devem ser implementados sempre que for necessário o acesso remoto. No entanto, no caso de sistemas de controlo industrial de alto risco, as organizações devem questionar-se se o acesso remoto de entrada é, de facto, necessário.
As VPNs e as firewalls são programas de software, o que significa que têm vulnerabilidades. São configuradas por pessoas, o que significa que podem ser mal configuradas. Os mesmos agentes que passaram o mês de julho a analisar a Internet à procura de PLCs expostos podem, com a mesma facilidade, direcionar esses mesmos scanners para terminais de VPN e firewalls vulneráveis ou mal configurados. É o mesmo problema, mas com uma consulta de pesquisa diferente.
Nenhum controlador responsável pelo abastecimento de água, energia, transportes ou outros serviços essenciais deve estar diretamente acessível a partir da Internet pública. Há uma diferença entre «seguro» e «isolado», mas é aí que os sistemas de cibersegurança de algumas empresas de serviços públicos falham.
As VPNs autenticam e encriptam o acesso remoto, enquanto as firewalls regulam o tráfego que é permitido. Ambas partem do princípio de que permanece disponível algum nível de conectividade de entrada. Um gateway unidirecional, ou díodo de dados, visa um objetivo de segurança diferente: eliminar totalmente a conectividade de rede de entrada para sistemas que não requerem controlo remoto.
Como os fluxos unidirecionais eliminam toda uma classe de risco
De um modo geral, as comunicações industriais dividem-se em duas categorias:
1. Controlar o tráfego, que envia comandos aos processos.
2. Monitorização do tráfego, que exporta dados operacionais para sistemas de registo histórico, SOCs, aplicações empresariais, ferramentas de análise na nuvem ou portais de gestão.
Muitos sistemas críticos acabam por utilizar apenas a segunda categoria. Nestes ambientes, permitir a conectividade de entrada apenas aumenta a superfície de ataque, sem proporcionar qualquer valor operacional.
Se for necessário que os dados operacionais saiam, não devem seguir por um caminho que permita a entrada de qualquer coisa. Em vez disso, devem atravessar uma fronteira fisicamente unidirecional, imposta por hardware.
Com um fluxo unidirecional obrigatório, os operadores mantêm total visibilidade sobre o que se passa no chão de fábrica. Os atacantes, por outro lado, não têm qualquer oportunidade de regressar através dessa ligação.
Este é o princípio subjacente ao OPSWAT’s MetaDefender™ NetWallda MetaDefender : diodos de dados de última geração, que proporcionam segurança unidirecional. ONetWall da implementa uma comunicação unidirecional imposta por hardware, transferindo dados operacionais, como informações do histórico, alarmes, registos ou telemetria, dos sistemas OT críticos para os sistemas empresariais, impedindo simultaneamente que quaisquer sessões de rede, tráfego de gestão ou comandos de controlo regressem aos controladores protegidos.
Não há necessidade de proteger o caminho de retorno, porque este, para começar, nem sequer existe. Isto elimina a classe de vulnerabilidades que uma firewall não consegue bloquear totalmente: uma regra mal configurada, uma porta aberta ou uma exceção à política. O erro humano, enquanto fator de risco, é também completamente eliminado, uma vez que os díodos não requerem as complexas regras de configuração bidirecionais utilizadas pelos firewalls. O MetaDefender NetWall foi concebido para cumprir requisitos de segurança rigorosos em ambientes industriais, bem como as recomendações da EPA relativas à resiliência do setor da água.
10 mil servidores continuam vulneráveis; como podemos colmatar esta lacuna?
Neste momento, mais de 4 100 servidores da Rockwell Automation/Allen-Bradley expostos à Internet, mais de 4 100 servidores da Siemens e mais de 2 000 servidores da Schneider Electric estão acessíveis a partir da Internet aberta. De acordo com a CISA, os modems móveis adicionados por operadores, fornecedores ou integradores de sistemas constituem frequentemente um ponto cego, uma vez que, muitas vezes, não estão documentados e, por isso, são omitidos das análises de rotina da superfície de ataque.
Por outras palavras, mais de 10 mil dispositivos estão expostos exatamente ao mesmo tipo de ataque que acaba de atingir os serviços de abastecimento de água do Michigan e do Minnesota. Trata-se de controladores que, se comprometidos, podem inundar uma estação de tratamento ou deixar a água sem tratamento. A CISA utiliza VPNs e firewalls como recomendações básicas para a proteção das infraestruturas críticas dos EUA. Embora tenham um mérito real, continuamos a falar de ferramentas baseadas na Internet. As recomendações atuais para proteger uma válvula de pressão, um sistema de alimentação de produtos químicos e a água da torneira de uma família não podem estar na mesma categoria de ferramentas concebidas para proteger uma página de início de sessão.
O Minnesota e o Michigan vêm lembrar-nos que a segurança ao nível da Internet nunca foi concebida para ser a última linha de defesa de sistemas físicos essenciais para a segurança pública. As infraestruturas de segurança pública precisam de uma solução física; uma barreira que os atacantes não possam reconfigurar, explorar ou analisar para a ultrapassar, porque não existe um caminho de retorno que um scanner possa detetar.
O primeiro episódio da nova série documental da OPSWAT, apresentada por Kari Byron, do programa MythBusters, defende abertamente que uma defesa em várias camadas, incluindo o fluxo de dados unidirecional imposto a nível de hardware, não é um mero «extra» para as infraestruturas críticas. Na verdade, pode fazer a diferença entre um relatório de incidente e uma emergência de saúde pública.
«Breaking the Firewall » leva os espectadores desde os palcos das conferências de segurança até a demonstrações práticas que mostram exatamente como os firewalls falham e o que deve substituí-los. Veja o primeiro episódio e descubra o que é necessário para proteger as infraestruturas críticas dos Estados Unidos.
