EUA investigam ação do Irã em ataques a sistemas de água de sete estados
FBI, EPA, CISA e NSA emitiram alerta conjunto após invasões a controladores industriais de estações de tratamento; Minnesota registrou cerca de 30 sistemas atingidos
O governo dos Estados Unidos investiga se o regime iraniano está por trás de uma série de ataques cibernéticos contra sistemas municipais de abastecimento de água em pelo menos sete estados americanos, entre eles Minnesota e Michigan. A apuração é conduzida pelo Departamento Federal de Investigação (FBI) em conjunto com a Agência de Proteção Ambiental (EPA), e foi confirmada nesta semana depois de um alerta conjunto emitido em 30 de julho.
Os primeiros sinais da ofensiva apareceram entre 26 e 27 de julho, quando autoridades de Minnesota relataram que cerca de 30 sistemas de água do estado haviam sido alvo de invasores. Segundo o alerta federal, os ataques miram equipamentos de tecnologia operacional, em especial os controladores lógicos programáveis, os PLCs, que comandam bombas, válvulas e dosagem de produtos químicos nas estações de tratamento.
O comunicado foi assinado por quatro órgãos: FBI, EPA, a agência de cibersegurança e infraestrutura (CISA) e a Agência de Segurança Nacional (NSA). O diretor interino da CISA afirmou que a agência observa "um aumento significativo de agentes de ameaça cibernética mirando controladores lógicos programáveis em concessionárias de água" e pediu que operadores de infraestrutura crítica retirem da internet, com urgência, os equipamentos operacionais expostos publicamente.
O que os órgãos americanos dizem sobre o abastecimento
Apesar da extensão do alvo, as agências afirmam que não há indício de contaminação. Fontes ouvidas pelo The New York Times disseram que "não há indícios de que o abastecimento ou a qualidade da água tenham sido afetadas". Houve, porém, degradação na operação de parte dos sistemas atingidos, o que obrigou operadores a assumir manualmente funções que estavam automatizadas.
A EPA e o FBI não divulgaram a lista dos sete estados. A confirmação pública se restringe a Minnesota e Michigan, citados por autoridades locais e pela imprensa americana. As concessionárias de água e esgoto nos Estados Unidos formam um setor pulverizado, com milhares de operadores municipais de porte pequeno, muitos deles sem equipe própria de segurança da informação, o que os torna alvo de baixo custo para atacantes.
A atribuição ao Irã ainda não é oficial
Um agente da lei ouvido pela imprensa americana afirmou que o ataque em Minnesota tem características associadas a grupos ligados a Teerã. Os investigadores, contudo, não vincularam publicamente as invasões ao governo iraniano até o momento, e o alerta conjunto trata da ameaça em termos técnicos, sem apontar responsável.
Não é a primeira vez que instalações de água americanas aparecem como alvo. Em episódios anteriores, grupos identificados como afiliados a forças iranianas exploraram senhas padrão de fábrica em equipamentos industriais de fabricação israelense usados por concessionárias nos Estados Unidos. A recomendação repetida pelas agências desde então é a mesma: trocar credenciais de fábrica, restringir acesso remoto e manter o sistema de controle isolado da rede pública.
Procurada pela imprensa americana, a missão do Irã junto às Nações Unidas não se manifestou sobre as investigações em curso. Teerã nega, de forma reiterada, envolvimento em operações cibernéticas contra infraestrutura civil no exterior.
O episódio ocorre em meio à escalada de tensão entre Washington e Teerã, que já pressiona os preços internacionais de energia e entrou no radar de bancos centrais como fator de incerteza para a inflação global. Para o setor elétrico e de saneamento, a preocupação prática é outra: os controladores industriais que operam essas plantas foram projetados há décadas para funcionar em redes fechadas, e boa parte segue acessível pela internet sem barreira adicional.
A EPA cobra dos operadores um plano de resposta a incidentes e avaliação periódica de risco, exigências previstas na legislação americana de segurança da água. O cumprimento, no entanto, depende da capacidade de cada concessionária, e auditorias federais anteriores já apontaram atraso generalizado entre os sistemas de menor porte.
