Uma vaga de ciberataques coordenados atingiu sistemas de água e de tratamento de águas residuais em vários estados norte-americanos no final de julho de 2026, obrigando algumas empresas a emitir avisos para ferver a água e a passar a operar em modo manual. As autoridades federais — FBI, Agência de Proteção Ambiental (EPA) e a agência de cibersegurança CISA — emitiram alertas urgentes, apontando para controladores industriais expostos à internet como porta de entrada. A investigação examina uma possível ligação a atores associados ao Irão, embora não exista, para já, atribuição formal.
Resposta rápida: Atacantes exploraram controladores lógicos programáveis (PLC) expostos à internet em empresas de água de pelo menos sete estados dos EUA, alterando palavras-passe e endereços IP para bloquear os operadores. A CISA e o FBI recomendam retirar de imediato os PLC e outra tecnologia operacional da internet pública e reforçar o acesso remoto. Não foram reportados casos de contaminação da água.
O que aconteceu
O epicentro do incidente foi o Minnesota. A agência estadual de tecnologia do estado indicou que mais de 30 sistemas comunitários de água foram alvo de um “ciberataque coordenado” a 26 e 27 de julho. Pouco depois, o alcance revelou-se maior: desde 27 de julho, empresas de água de pelo menos sete estados reportaram intrusões ao FBI, e algumas dessas ações degradaram operações de fornecimento de água. Entre os estados afetados estão o Minnesota e o Michigan.
Analistas classificaram o episódio como um dos ciberataques mais sérios a sistemas de água nos EUA em anos. As consequências práticas foram visíveis: algumas empresas emitiram avisos para ferver a água e passaram a operar em modo manual, colocando os sistemas offline. Ainda assim, e este é um ponto importante, não foram reportados incidentes de contaminação.
Como os atacantes entraram
O vetor de ataque é, tecnicamente, simples — e é isso que preocupa. Os hackers visaram controladores lógicos programáveis (PLC) acessíveis pela internet, dispositivos que permitem a comunicação de máquinas em instalações de água e que monitorizam a pressão, a dosagem de químicos e outras funções que garantem a segurança do sistema. Os ataques não são complexos: os atacantes invadem PLC que estão online e vulneráveis.
Uma vez lá dentro, o objetivo era o controlo. O alerta da CISA descreve atividade em que os atacantes visaram PLC expostos e alteraram palavras-passe para bloquear os operadores, modificaram endereços IP para desligar os dispositivos da internet e realizaram outras ações que perturbaram as operações. Num memorando das autoridades do Minnesota citado pela imprensa, o objetivo suspeito dos ataques seria “provocar a perda de pressão do sistema e a subsequente potencial contaminação do fornecimento de água”.
O FBI foi específico quanto ao equipamento visado: os atacantes visam dispositivos de tecnologia operacional (OT), incluindo PLC da Rockwell Automation/Allen-Bradley, em concreto as séries MicroLogix 1100 e 1400. A empresa de análise de exposição Censys observou ainda que muitos dos controladores MicroLogix 1400 aparentam correr versões de firmware em fim de vida comercial e que quase metade dos dispositivos Rockwell expostos são alcançáveis através de redes como Verizon Business, AT&T, T-Mobile, Comcast, Charter e Starlink — o problema dos modems celulares não documentados como ponto cego.
A vulnerabilidade no centro da campanha
No coração desta atividade está uma falha conhecida há anos. A CVE-2021-22681 (CVSS 9.8), uma falha crítica de contorno de autenticação em controladores Logix da Rockwell Automation sem correção disponível do fabricante, foi adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas da CISA em março de 2026, na sequência de exploração confirmada por atores associados ao Irão. Trata-se de uma chave criptográfica insuficientemente protegida no software Studio 5000 Logix Designer e em múltiplos PLC Logix.
O aspeto mais desconfortável é a idade da falha: divulgada em 2021, não requer um zero-day e, cinco anos após ficar disponível, continua a produzir perdas confirmadas em 2026. Investigadores descrevem o método: os atores ligam-se aos PLC expostos a partir de fornecedores de alojamento estrangeiros usando o mesmo software de engenharia do fabricante (Studio 5000 Logix Designer) que os operadores legítimos usam e, uma vez ligados, descarregam e modificam ficheiros de projeto do controlador e alteram os dados apresentados aos operadores.
Cronologia essencial
| Data | Acontecimento |
|---|---|
| 7 de abril de 2026 | CISA publica a advisory AA26-097A sobre atores associados ao Irão a explorar PLC Rockwell/Allen-Bradley em vários setores críticos. |
| 22 de julho de 2026 | Atualização da AA26-097A alarga o âmbito a PLC da Schneider Electric e Siemens e documenta exfiltração de ficheiros de projeto. |
| 26–27 de julho de 2026 | Ataque coordenado atinge mais de 30 sistemas de água no Minnesota. |
| 27 de julho de 2026 | Empresas de pelo menos sete estados começam a reportar incidentes ao FBI. |
| 30–31 de julho de 2026 | FBI, EPA e CISA emitem alerta público conjunto sobre o “aumento significativo” de ataques ao setor da água. |
A atualização de meados de julho foi reveladora. A advisory de abril foi atualizada este mês para cobrir equipamento de outros fabricantes, incluindo Schneider Electric e Siemens. Segundo investigadores, a atualização de 22 de julho alargou o âmbito da exploração a dispositivos Schneider Electric e Siemens além da Rockwell, documentou pela primeira vez a exfiltração de ficheiros de projeto e acrescentou orientação de deteção para manipulação de módulos de código reutilizáveis embebidos nos programas dos PLC.
Quem está por trás
A atribuição não é oficial, e as autoridades mantêm cautela. As autoridades tratam o Irão como um dos suspeitos, mas não fizeram uma determinação formal sobre a responsabilidade e receiam operações de bandeira falsa (false flags). A CISA, por seu lado, não atribuiu formalmente os ataques recentes no Minnesota a nenhum grupo, mas tinha alertado, na advisory de abril, para atividade associada ao Irão.
Os indícios técnicos apontam para um grupo já conhecido. A CISA atribuiu incidentes anteriores a um grupo chamado CyberAv3ngers, associado ao Corpo da Guarda Revolucionária Islâmica. Este não é um ator novo: a campanha atual é sucessora direta da operação CyberAv3ngers de novembro de 2023, que comprometeu pelo menos 75 dispositivos PLC Unitronics usando credenciais por defeito em instalações de água dos EUA. A diferença, agora, é o salto de complexidade — de palavras-passe por defeito para a exploração de uma vulnerabilidade conhecida em equipamento amplamente instalado.
Medidas de mitigação recomendadas
A prioridade das autoridades é inequívoca: tirar o equipamento da internet. A CISA instou os proprietários e operadores de infraestruturas críticas a removerem PLC publicamente expostos e outra tecnologia operacional da internet o mais rapidamente possível. As agências detalharam ainda passos concretos:
- Manter os dispositivos de controlo fora da internet pública e encaminhar qualquer acesso remoto através de um gateway seguro (jump host).
- Definir palavras-passe longas e únicas, limitar quais os computadores autorizados a comunicar com os dispositivos de controlo e proteger e monitorizar os modems celulares usados para acesso remoto.
- Colocar os interruptores físicos de modo em “Run”, prevenindo a modificação remota da lógica e das configurações do PLC.
- Fazer cópias de segurança offline de toda a lógica e configurações do PLC, guardá-las em suportes físicos seguros e testar os procedimentos de restauro.
- Integrar os IOC da advisory AA26-097A em plataformas de SIEM, IDS e firewall.
Porque é que isto importa em Portugal
Embora o incidente seja nos EUA, a lição é universal: a tecnologia operacional que gere água, energia e outros serviços essenciais foi, muitas vezes, concebida numa era sem ciberameaças e continua a ser exposta à internet com configurações fracas. Os mesmos fabricantes — Rockwell, Schneider Electric e Siemens — estão presentes em infraestruturas europeias e portuguesas.
Em Portugal, o setor da água enquadra-se nas entidades essenciais abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), com obrigações de gestão de risco e de notificação de incidentes ao CNCS/CERT.PT. Operadores e municípios devem inventariar dispositivos OT expostos, aplicar segmentação de rede e reforçar o acesso remoto — as recomendações da CISA são diretamente transponíveis. Sempre que um incidente destes envolver dados pessoais de cidadãos, aplicam-se ainda as obrigações do RGPD quanto a segurança e notificação à CNPD. Para as PME que prestam serviços a estas entidades, a mensagem é clara: os controladores industriais não devem estar acessíveis a partir da internet pública.
Perguntas frequentes
A água potável ficou contaminada?
Não. Apesar de algumas empresas terem emitido avisos preventivos para ferver a água e terem passado a operar em modo manual, as autoridades norte-americanas afirmaram não terem sido reportados incidentes de contaminação do fornecimento de água.
Que equipamento foi visado?
Os atacantes visaram controladores lógicos programáveis (PLC) expostos à internet, com destaque para os modelos Rockwell Automation/Allen-Bradley MicroLogix 1100 e 1400. A advisory da CISA foi entretanto alargada para incluir também dispositivos Schneider Electric e Siemens.
Foi o Irão o responsável?
Não há atribuição formal. As autoridades investigam uma possível ligação a atores associados ao Irão, nomeadamente ao grupo CyberAv3ngers, mas mantêm cautela quanto a operações de bandeira falsa e não confirmaram oficialmente o autor.
O que devem fazer os operadores para se protegerem?
A ação mais importante é remover os PLC e outra tecnologia operacional da internet pública. Complementarmente, devem usar acesso remoto via gateway seguro com autenticação multifator, definir palavras-passe fortes e únicas, colocar os interruptores de modo em “Run”, fazer cópias de segurança offline e integrar os indicadores de comprometimento nos seus sistemas de deteção.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo FBI, pela EPA, pela CISA e por investigadores de segurança.