O recente alerta emitido por diversas agências do governo dos Estados Unidos, incluindo NSA, FBI, CISA e Departamento de Energia, rompe com a crença confortável de que sistemas industriais, sobretudo em setores críticos como água, energia e manufatura, estariam protegidos por sua natureza técnica e isolamento de rede. Os fatos apontam para um cenário em que a exposição de controladores lógicos programáveis (PLCs) da Siemens, Rockwell Automation e Schneider Electric, especialmente da série S7 da Siemens, tornou-se um vetor de risco real e imediato, com ataques já causando impacto operacional em concessionárias de água, segundo a CISA e reportagens do CISO Advisor e Valor Econômico.

Escalada de ataques: água, energia e manufatura no alvo

O consenso entre as fontes é que os ataques não se restringem a um segmento. O alerta, divulgado em 19 de agosto de 2026 e detalhado por Valor Econômico, abrange setores como abastecimento de água, tratamento de esgoto, distribuição de energia, instalações de manufatura, produtos químicos, alimentos e agricultura. A CISA, em comunicado de 30 de julho, relatou aumento significativo de incidentes, especialmente no setor de água e esgoto. O CISO Advisor detalha que operadores foram bloqueados por alteração de senhas e endereços IP dos PLCs, forçando operações manuais e até emissão de avisos de água fervente em algumas concessionárias.

Segundo o Valor Econômico, pelo menos 30 incidentes cibernéticos relacionados à água ocorreram em Minnesota nos dias 26 e 27 de julho, ilustrando o potencial de impacto em cascata em sistemas interconectados. O alerta oficial dos EUA ressalta que comprometimentos desses dispositivos podem levar à interrupção de processos críticos, incidentes de segurança, danos a equipamentos, vazamento de dados confidenciais e violações de conformidade.

Como operam os ataques: exposição, IA e engenharia reversa

O mecanismo dos ataques, conforme detalhado pelo CISO Advisor, explora PLCs configurados incorretamente e expostos à internet. Hackers se conectam a partir de infraestrutura de hospedagem alugada no exterior, utilizando o próprio software legítimo dos fabricantes, como o TIA Portal da Siemens. Uma vez conectados, extraem arquivos de projeto, modificam ou deletam a lógica de controle e manipulam dados exibidos nas interfaces dos operadores. Em pelo menos um caso, desativaram a lógica crítica de desligamento e alarme, permitindo que sistemas operassem em condições inseguras sem alertar os operadores.

O Valor Econômico acrescenta um fator novo e preocupante: o uso de inteligência artificial para reduzir drasticamente a experiência técnica e o tempo necessários para desenvolver brechas exploráveis. Segundo as agências americanas, a IA está facilitando a criação de exploits e acelerando ataques, tornando a superfície de risco mais dinâmica e menos dependente de habilidades humanas especializadas.

Origem dos ataques e atribuição: incertezas e divergências

Há consenso nas fontes de que os ataques são sofisticados e coordenados, mas a atribuição da autoria permanece indefinida. Ambas as publicações mencionam suspeitas de ligação com o Irã, mas as autoridades americanas evitam uma acusação formal. O Valor Econômico destaca que, enquanto especialistas em cibersegurança suspeitam de envolvimento iraniano, o presidente americano Donald Trump chegou a descartar essa hipótese, culpando Minnesota pelos incidentes locais. O CISO Advisor reforça que as investigações continuam e não há confirmação oficial da origem dos ataques.

A ausência de atribuição clara amplia a incerteza sobre a motivação e o alcance dos ataques, dificultando a preparação das organizações e a coordenação de respostas internacionais. O fato de os hackers utilizarem infraestrutura alugada em outros países, como apontado pelo CISO Advisor, adiciona camadas de complexidade à identificação dos responsáveis.

Recomendações e pontos cegos: o que as agências sugerem

As recomendações das agências americanas convergem para a necessidade de remover PLCs da exposição direta à internet, utilizando gateways seguros ou VPNs para acesso remoto. O controle rigoroso de acesso à rede, implementação de regras de firewall, validação periódica dos arquivos de projeto, alteração de senhas padrão e autenticação multifator são medidas consideradas essenciais. A CISA recomenda ainda auditorias em conexões de modem celular, frequentemente negligenciadas e que representam um ponto cego recorrente nas redes industriais, além do monitoramento de tráfego suspeito em portas específicas (44818, 2222, 102 e 502).

O alerta também evidencia que a dependência de software legítimo para ataques dificulta a detecção por mecanismos tradicionais de defesa, já que as ações maliciosas podem ser mascaradas como operações normais. A recomendação de validar os projetos em execução contra versões limpas reforça a necessidade de processos de governança e auditoria contínua, não apenas de barreiras técnicas.

Contra-argumentos e limites das recomendações

Entre os especialistas e autoridades, há quem questione a efetividade de algumas recomendações diante da crescente sofisticação dos ataques. O Valor Econômico destaca que o uso de IA pelos hackers reduz o tempo e a barreira de entrada para ataques, tornando insuficiente a mera remoção da exposição direta à internet se não houver uma abordagem mais ampla de defesa em profundidade. Por outro lado, o CISO Advisor enfatiza que, apesar das recomendações, muitos operadores continuam com práticas frágeis, como o uso de senhas padrão e a ausência de autenticação multifator, tornando as redes alvos fáceis.

Outro ponto de debate é o risco de impacto operacional das próprias medidas de segurança. A restrição de acesso remoto pode dificultar a manutenção e a resposta a incidentes em regiões remotas, especialmente em operações distribuídas como as de água e energia. O equilíbrio entre segurança e continuidade operacional ainda é um desafio não resolvido, sobretudo para concessionárias com recursos limitados.

O que ainda não se sabe: lacunas e riscos para empresas

Apesar do volume de informações divulgado, há pontos críticos que permanecem sem resposta. Não está claro quantas empresas e concessionárias foram efetivamente impactadas, nem o grau de comprometimento dos sistemas afetados. As fontes divergem quanto à atribuição dos ataques e não há detalhes sobre possíveis vulnerabilidades específicas exploradas além da má configuração e exposição à internet.

Outro aspecto incerto é a extensão do uso de IA nos ataques e se essa tendência já se disseminou para além dos casos observados nos Estados Unidos. Para empresas brasileiras, especialmente aquelas do Polo Industrial de Manaus e de setores regulados, a incerteza sobre a capacidade de resposta e a eficácia das medidas recomendadas aumenta o risco de interrupções e de não conformidade com normas de segurança.

Implicações para operações corporativas: conectividade e segurança como fatores críticos

O alerta dos EUA evidencia que a conectividade industrial, antes vista como facilitadora da eficiência operacional, tornou-se também um vetor de risco. Empresas que operam sistemas industriais conectados, seja em manufatura, energia ou saneamento, precisam reavaliar a exposição de seus dispositivos e a robustez de suas redes. O uso crescente de IA por atacantes reduz o tempo de reação e exige processos de monitoramento e resposta mais ágeis.

Para organizações de Manaus e do Polo Industrial, onde a conectividade entre unidades e a operação remota são essenciais, a dependência de links estáveis e seguros ganha novo peso estratégico. A exposição direta de PLCs à internet, prática ainda comum em ambientes industriais, representa um risco que pode resultar em paralisações, perda de dados e até danos físicos a equipamentos. A adoção de redes privadas, VPNs e autenticação multifator deixa de ser recomendação opcional e passa a ser requisito mínimo para continuidade dos negócios e conformidade regulatória.

O cenário descrito pelas agências americanas e detalhado nas publicações do CISO Advisor e Valor Econômico deixa claro: a ilusão de segurança baseada apenas no isolamento ou na obscuridade dos sistemas industriais não se sustenta diante da sofisticação dos ataques atuais. O próximo passo para empresas que dependem de infraestrutura crítica é investir em conectividade controlada, monitoramento contínuo e processos de auditoria que antecipem falhas antes que elas se convertam em incidentes de grande impacto.