Ataque coordenado atinge mais de 30 sistemas de água nos EUA; investigação apura possível falha em PLCs da Rockwell

Um ataque cibernético coordenado contra mais de 30 sistemas comunitários de abastecimento de água em Minnesota, nos Estados Unidos, levou autoridades a investigar duas questões centrais: quem está por trás da campanha e se uma vulnerabilidade compartilhada em controladores lógicos programáveis (PLCs) da Rockwell Automation facilitou a invasão simultânea de dezenas de pequenas concessionárias.

Embora o fornecimento de água potável não tenha sido comprometido e os impactos operacionais tenham sido limitados, especialistas em segurança industrial afirmam que o incidente representa a primeira campanha distribuída conhecida contra diversas concessionárias de pequeno porte explorando uma possível fraqueza comum em tecnologia operacional (OT).

Segundo a Minnesota IT Services, as atividades maliciosas ocorreram entre 26 e 27 de julho. A cidade de Braham sofreu o impacto mais significativo ao perder o controle de parte do sistema de abastecimento por cerca de duas horas, até que os operadores restabelecessem o funcionamento. Em Plymouth, equipamentos conectados por rede celular em torres de água e estações elevatórias de esgoto foram desconectados para impedir novo acesso dos invasores. South St. Paul informou falhas em controles automatizados, enquanto Maple Plain decretou estado de emergência local para ampliar sua resposta.

O caso ocorreu poucos dias após a CISA, o FBI, a NSA e a EPA ampliarem um alerta sobre ataques de agentes ligados ao Irã contra PLCs utilizados em infraestruturas críticas, incluindo sistemas de abastecimento de água. A agência também informou observar um aumento significativo de tentativas de comprometimento desses equipamentos e reforçou a recomendação para remover PLCs expostos diretamente à internet.

Para pesquisadores, o diferencial da campanha é a coordenação entre diversos alvos. Markus Mueller, Field CISO da Nozomi Networks, afirmou que esse tipo de operação indica a existência de algum elemento técnico compartilhado entre as concessionárias, como um mesmo integrador de sistemas, arquitetura de comunicação ou infraestrutura comum.

Ron Fabela, pesquisador especializado em sistemas de controle industrial, também considera essa hipótese plausível. Segundo ele, muitas dessas concessionárias utilizam comunicação celular, o que dificulta a identificação de seus sistemas na internet e pode explicar por que apenas um grupo específico de organizações foi atingido.

Outro ponto analisado pelas autoridades envolve controladores MicroLogix 1400, da Rockwell Automation. De acordo com uma fonte familiarizada com a investigação, os equipamentos podem ter servido como vetor comum de acesso aos sistemas afetados. Fabela identificou, por meio de buscas públicas, pelo menos dois controladores desse modelo utilizados pela cidade de Plymouth.

A possibilidade ganhou força porque, em 30 de julho, a Rockwell publicou um alerta de segurança envolvendo a família MicroLogix 1400, enquanto a CISA divulgou novas orientações recomendando que operadores de água e esgoto removam PLCs expostos à internet o mais rápido possível. Ainda assim, especialistas ressaltam que a coincidência temporal não comprova que esses equipamentos tenham sido explorados na campanha.

Caso PLCs expostos tenham sido utilizados como ponto de entrada, os invasores poderiam monitorar processos industriais, alterar informações exibidas aos operadores e, em determinadas configurações, modificar parâmetros operacionais. Apesar disso, pesquisadores destacam que controles manuais presentes na maioria das estações de tratamento reduzem significativamente o risco de consequências catastróficas.

A autoria do ataque permanece indefinida. Embora órgãos federais não tenham atribuído oficialmente a campanha, especialistas consideram grupos ligados ao Irã os principais suspeitos, principalmente devido aos recentes alertas do governo americano sobre atividades direcionadas à infraestrutura crítica. No entanto, ainda não há evidências técnicas conclusivas.

Outro fator que chama atenção é a ausência de reivindicação pública do ataque. Diferentemente de campanhas anteriores atribuídas aos grupos CyberAv3ngers e Handala, não foram publicados vídeos, capturas de tela ou outras provas logo após o incidente. Apenas dias depois, uma publicação estatal iraniana atribuiu a ação ao grupo Handala, que até o momento não assumiu oficialmente a responsabilidade.

Independentemente da autoria, especialistas afirmam que o episódio reforça um problema recorrente na segurança de ambientes industriais: muitos ataques continuam sendo viabilizados pela exposição direta de PLCs à internet, pelo uso de credenciais fracas e pela ausência de segmentação adequada das redes, sem necessidade de explorar vulnerabilidades sofisticadas ou falhas do tipo zero-day.