Ataques cibernéticos suspeitos de terem sido cometidos por hackers iranianos atingiram sistemas de água em pelo menos 12 estados dos Estados Unidos, segundo fontes familiarizadas com os incidentes. Os alvos foram controladores lógicos programáveis (PLCs) usados por provedores de água para gerenciar o fluxo e a composição química do abastecimento.
Como os ataques aconteceram
De acordo com o FBI, a EPA e a CISA (Agência de Cibersegurança e Infraestrutura dos EUA), os hackers modificaram senhas para bloquear operadores e desconectaram os controladores, impedindo o gerenciamento remoto dos sistemas. Em alguns casos, os ataques foram graves o suficiente para resultar em avisos de fervura de água para a população afetada.
Segundo a Foreign Policy, os ataques ocorreram nas últimas duas semanas e atingiram provedores de água em pelo menos sete estados, com indicações de que até 12 estados podem ter sido impactados. Os PLCs afetados eram fabricados pela Rockwell Automation, e muitos municípios utilizam os mesmos softwares, o que ampliou a superfície de ataque.
Origem e motivação
Embora o governo dos EUA não tenha atribuído oficialmente os ataques a um adversário específico, several ex-oficiais indicaram que o Irã é o principal suspeito. “Estou incrivelmente confiante de que esses ataques são do Irã”, afirmou Cynthia Kaiser, ex-diretora adjunta da divisão cibernética do FBI. “A motivação geopolítica, a capacidade e o histórico recente de direcionamento ao setor apontam para o Irã.”
Os ataques não são inéditos. Em 2023, durante os primeiros dias da guerra Israel-Hamas, um grupo de hackers iraniano conhecido como “CyberAv3ngers” infiltrou-se na empresa israelense Unitronics, cujos controladores são amplamente utilizados em sistemas de água dos EUA.
Impacto e consequências
Até o momento, não há indicações de que os ataques causaram interrupções significativas ou danos duradouros ao abastecimento de água. Pelo menos alguns operadores conseguiram mudar para operações manuais ou usar sistemas de backup. No entanto, a CISA alertou que os ataques foram suficientemente graves em alguns casos para justificar avisos de fervura de água.
As implicações dos ataques são mais amplas, pois os PLCs ajudam os operadores a regular o fluxo, a distribuição e até a composição química do abastecimento de água. Em 2021, um hacker tentou aumentar os níveis de produtos químicos em uma planta na Flórida antes de ser detectado a tempo. Em 2024, um ataque fez reservatório transbordar no Texas.
Reações e medidas de proteção
Em resposta aos ataques, o estado de Nova York anunciou mais de US$ 9 milhões em subsídios de cibersegurança para proteger mais de 150 sistemas de água. Senadores democratas apresentaram a Water Shield Cyber Act, legislação destinada a fortalecer as proteções de cibersegurança para infraestruturas hídricas em todo o país.
O FBI orienta que os provedores de água desconectem sistemas da internet quando possível, usem sistemas com disjuntores e se familiarizem com controles manuais para o caso de sistemas automatizados serem comprometidos.
Vulnerabilidade do setor hídrico
Os ataques destacam a vulnerabilidade do setor de água, que frequentemente depende de tecnologias de terceiros conectadas à internet para controle remoto. Essas tecnologias ampliam a lista de alvos, pois muitos municípios utilizam os mesmos softwares e equipamentos.
A falta de autoridade clara para fiscalização de cibersegurança no setor hídrico é um desafio adicional. Em 2023, a EPA propôs exigir avaliações de cibersegurança como parte de auditorias regulares, mas retirou a proposta após processos movidos por estados alegando que as melhorias seriam custosas demais para as utilidades de água.
Acompanhe mais notícias de segurança digital no Casa do Barreado.