Os ciberataques a sistemas de água nos EUA já chegaram a sete estados e o FBI olha para o Irão
O Michigan juntou-se ao Minnesota e há ataques informáticos confirmados a sistemas de água em pelo menos sete estados norte-americanos. O FBI investiga uma campanha coordenada.
Há uma coisa que quase ninguém pensa em proteger e que toda a gente usa antes do pequeno-almoço: a água canalizada. Nos Estados Unidos, essa distracção acaba de ficar cara. O Michigan reportou no sábado ciberataques a nove sistemas de abastecimento do estado, dias depois de o Minnesota ter contado mais de trinta. As autoridades federais dizem que o problema se estende a pelo menos sete estados.
O FBI está a investigar aquilo que descreve como uma campanha coordenada contra uma das categorias mais básicas de infraestrutura americana. Ninguém foi publicamente apontado como culpado, mas o contexto é difícil de ignorar: o FBI, a CISA e outras agências tinham emitido na semana anterior um alerta a dizer que hackers iranianos andavam focados exactamente em sistemas de água e de águas residuais.
Como é que se ataca um sistema de água?
Não é pelo site. Segundo o alerta da CISA, os atacantes vão atrás dos controladores lógicos programáveis — os PLC, as pequenas caixas industriais que abrem válvulas, ligam bombas e doseiam produtos químicos — e mudam-lhes as palavras-passe para trancar os operadores fora do próprio equipamento. É pouco espectacular e muito eficaz: não é preciso rebentar nada, basta tirar o controlo a quem o tinha.
Nos casos reportados, todos os sistemas continuaram a operar em segurança. É essa a boa notícia, e é também a razão pela qual estes ataques costumam passar despercebidos até alguém contar quantos foram.
Isto podia acontecer em Portugal?
A pergunta certa não é se podia, é o quão preparados estamos. As mesmas caixas industriais estão em estações de tratamento por toda a Europa, muitas vezes com décadas de vida útil e sistemas operativos que já ninguém actualiza. A diferença regulatória é que a Europa tem a directiva NIS2 a obrigar operadores de serviços essenciais — água incluída — a reportar incidentes e a provar níveis mínimos de segurança, o mesmo impulso legislativo que trouxe as novas obrigações de transparência para a inteligência artificial este fim de semana.
Os avisos técnicos e as recomendações para operadores de infraestruturas críticas estão publicados pela CISA.
Se serve de consolo: o ataque mais provável a um sistema de água não é o filme de catástrofe. É uma palavra-passe que ficou igual à de fábrica durante quinze anos.
Por Oliver Grant
Imagem: Sdkb / Wikimedia Commons (CC BY-SA 4.0)
.jpg?width=1280)
