Mudou uma lista de fabricantes e ninguém o contou

A 7 de abril de 2026 a agência norte-americana CISA publicou o aviso AA26-097A, que descrevia a exploração de autómatos programáveis expostos à internet nos serviços públicos, na água e no saneamento e na energia. O equipamento citado eram unidades Rockwell Automation Allen-Bradley e a atividade descrita recuava a março. Para um operador europeu aquilo lia-se como um problema americano sobre equipamento americano.

A 22 de julho o aviso foi atualizado. A revisão alargou o equipamento citado a autómatos da Schneider Electric e da Siemens ao lado dos da Rockwell, acrescentou orientações de deteção para módulos de código manipulados e publicou novos indicadores relativos ao período de setembro de 2025 a julho de 2026. Quatro dias depois, entre 26 e 27 de julho, um ataque coordenado atingiu mais de trinta sistemas municipais de água no Minnesota.

Desde então todos os títulos falam do ataque ou de quem o executou. A parte que atravessa o Atlântico é a lista de fabricantes, e mudou há nove dias.

Os três autómatos agora citados

O aviso nomeia os Rockwell Automation CompactLogix e Micro850, o Schneider Electric Modicon M340 e a série Siemens S7-1200. Duas destas três famílias são o equipamento por omissão de uma sala técnica europeia. A base instalada da Rockwell concentra-se na América do Norte; a Siemens e a Schneider são fabricantes europeus cujos autómatos comandam o tratamento de água, a depuração, a indústria alimentar e a produção geral na Europa.

A alteração não descreve um defeito de produto. Nada no aviso fala de uma vulnerabilidade recém-divulgada num produto da Siemens ou da Schneider. Fala de autómatos alcançáveis a partir da internet pública, protegidos por palavras-passe por omissão ou nunca alteradas, cujos programas foram depois modificados. Essa exposição é uma decisão de configuração e de acesso, quase sempre tomada há anos por um integrador e raramente revista desde então.

Essa distinção decide a quem cabe a correção. Uma vulnerabilidade de produto é um remendo pelo qual se espera. Um autómato exposto é um registo de ativos e um caminho de acesso remoto, e ambos lhe pertencem.

A técnica passou da palavra-passe para a lógica

Em 2023 e 2024 o mesmo setor foi atingido através de autómatos da série Unitronics Vision: pelo menos 75 aparelhos nos Estados Unidos, em Israel, no Reino Unido e na Irlanda foram comprometidos por palavras-passe por omissão que nunca tinham sido alteradas. Era um problema de acesso com uma resposta de acesso. A campanha de 2026 opera noutro plano.

O aviso descreve três movimentos encadeados. O software de engenharia do próprio fabricante, a correr em infraestrutura alojada por terceiros, foi usado para extrair os ficheiros de projeto do autómato dos ambientes das vítimas. Depois foram manipuladas as Add-On Instructions, os módulos de código reutilizáveis embutidos nesses programas, para desativar paragens de segurança e alarmes. Por fim foram modificados os dados que alimentam os ecrãs HMI e SCADA, de modo que o equipamento pudesse trabalhar fora dos limites seguros sem que o posto do operador mostrasse nada de anormal.

Ao lado disso ficam os passos mais grosseiros: palavras-passe de administrador alteradas para deixar o operador fora do seu próprio autómato, e definições de IP modificadas para separar um autómato da rede que o supervisiona. Uma política de palavras-passe responde ao ataque de 2023. Nenhuma política de palavras-passe responde a um alarme reescrito.

Duas horas em Braham são uma questão de pessoal

Braham, no Minnesota, tem cerca de 1.700 habitantes. O ataque inutilizou o comando informatizado do furo e da estação de tratamento de água da localidade, e as equipas repuseram a operação em duas horas. Plymouth, South St Paul e Maple Plain também comunicaram incidentes, e no total mais de trinta municípios foram afetados a 26 e 27 de julho.

O que devolveu Braham em duas horas foram pessoas capazes de conduzir a instalação à mão. Isso é uma rubrica de pessoal e não uma rubrica do orçamento de segurança, e é a que mais vezes se corta com o argumento de que o processo já está automatizado. Nos incidentes comunicados até agora a qualidade da água potável não foi afetada, embora o alerta da CISA de 30 de julho inclua avisos de fervura e operação manual prolongada entre as consequências provocadas por esta atividade.

Quanto à autoria, nada está fechado. Nenhuma agência federal ou estadual atribuiu formalmente os ataques do Minnesota. Um memorando do WaterISAC cita o Minnesota Fusion Center, segundo o qual a atividade é coerente com a campanha descrita pela CISA, sem apresentar provas diretas; o modo de operar corresponde ao dos CyberAv3ngers, grupo formalmente atribuído ao comando cibernético e eletrónico da Guarda Revolucionária iraniana; foi noticiado que os serviços secretos norte-americanos suspeitam do Irão, e o presidente contestou-o publicamente. Nenhuma destas posições altera uma única medida que viesse a adotar.

Três perguntas que dispensam um culpado

Primeiro: peça ao seu integrador todos os caminhos de acesso remoto até um autómato, e não aceite o esquema de rede como resposta. O esquema documenta o projeto; a exposição vem quase sempre do que foi acrescentado depois para um contrato de assistência, um arranque de instalação ou uma escala fora de horas. O alerta da CISA de 30 de julho, emitido com a agência ambiental EPA e o FBI, pede exatamente três coisas: retirar os autómatos da internet pública e alcançá-los por VPN ou gateway, ativar a proteção por palavra-passe e alterar todos os valores por omissão, e admitir apenas os endereços autorizados através de uma lista branca.

Segundo: consegue hoje extrair o programa do autómato e compará-lo com a última versão aprovada, incluindo as Add-On Instructions? Se a resposta honesta for que o programa em serviço só existe dentro do próprio autómato, então a manipulação que o aviso descreve não tem qualquer via de deteção na sua instalação. A medida eficaz aqui é um registo assinado e com controlo de versões daquilo que a lógica deve ser, e a maioria dos locais não o consegue apresentar.

Terceiro: o seu ensaio de alarmes prova que o alarme dispara a partir do processo, ou apenas que o ecrã o sabe desenhar? A questão vai além da sala técnica. A água e as águas residuais são setores essenciais do anexo I da NIS2, pelo que um incidente significativo implica um alerta precoce em 24 horas e uma notificação em 72, com o órgão de gestão a responder pelas medidas. Em Portugal essa comunicação passa pelo Centro Nacional de Cibersegurança. O prazo começa quando toma conhecimento, e uma técnica construída para alterar ao mesmo tempo a lógica de segurança e o ecrã que a reporta é uma técnica construída para atrasar precisamente esse momento.

Leia a seguir: A primeira plataforma de agentes de IA que a CISA obriga a corrigir  |  A correção do SharePoint que ignorou em maio já é urgente