What we know about the alleged Iranian hacks on U.S. water utilities
Desde o final do mês passado, várias concessionárias de água nos Estados Unidos foram atingidas por ataques cibernéticos, causando alarme no país.
Por anos, concessionárias de água e outras instalações de infraestrutura crítica em o setor de energia, por exemplo, têm sido alvo de hackers, sejam eles apoiados por governos ou indivíduos. O que torna estes ataques recentes — supostamente realizados pelo Irã — particularmente preocupantes é o quão generalizados foram, atingindo alvos em cerca de uma dezena de estados.
Os EUA possuem mais de 150.000 sistemas de água, alguns deles operados por empresas locais. Em teoria, isso deveria dificultar que hackers visassem várias instalações ao mesmo tempo. Mas, por outro lado, as empresas que operam esses sistemas podem não ter os recursos ou a experiência em segurança cibernética necessários para se protegerem.
Especialistas em segurança cibernética há muito acreditam que hackers iranianos têm como alvo alvos fáceis ("low-hanging fruit") em ataques oportunistas isolados, de modo que esta campanha de hackers pode representar uma escalada significativa.
Muita coisa aconteceu desde que a notícia dos ataques iniciais surgiu, há duas semanas. Por isso, decidimos que era um bom momento para recapitular o que sabemos até agora e o que não sabemos.
Em 28 de julho, as autoridades de Minnesota anunciaram que estações de tratamento de água em mais de 30 comunidades foram atingidas por ataques cibernéticos coordenados.
Dois dias depois, o FBI afirmou que empresas concessionárias de água e águas residuais em "pelo menos sete estados" relataram incidentes e que, em alguns casos, os ataques "degradaram as operações de água". Desde então, além de Minnesota, foram relatados ataques cibernéticos contra instalações de água em Arkansas, Geórgia, Nova Jersey e Michigan.
A resposta curta é: ainda não sabemos, mas o principal suspeito é o governo iraniano.
Até hoje, oficialmente, o governo dos EUA ainda não apontou o culpado por trás da onda coordenada de ataques cibernéticos.
No entanto, os primeiros incidentes em Minnesota ocorreram dias depois de a Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) alertar que hackers iranianos estavam tendo como alvo dispositivos conectados à internet em sistemas de água e no setor de energia, sem especificar onde esses ataques estavam ocorrendo. (A CISA havia publicado originalmente este aviso em abril e o atualizado antes dos ataques em Minnesota.)
Após a onda inicial ser descoberta em Minnesota, o presidente Donald Trump disse que não achava “que houve um ataque cibernético iraniano”. Em vez disso, ele culpou o estado, talvez porque seja administrado pelo governador democrata Tim Walz, que foi escolhido como candidato a vice-presidente de Kamala Harris nas eleições de 2024.
A declaração de Trump veio um dia depois de o Wired relatar que o Water Information Sharing and Analysis Center (WaterISAC), um grupo sem fins lucrativos que distribui informações de segurança cibernética entre o setor de água, disse aos seus membros que os ataques recentes "alinhados" com a campanha de hackers alertada pela CISA — acusando efetivamente o governo iraniano.
No início desta semana, o The Washington Post noticiou que agências de inteligência dos EUA "estão confiantes" de que o Irã, e em particular o Corpo da Guarda Revolucionária Islâmica (IRGC), é o responsável. A atribuição ainda não é pública, segundo as fontes do jornal, porque as agências não têm certeza de qual unidade específica dentro do IRGC foi responsável e também porque as autoridades podem estar relutantes em contradizer a afirmação de Trump.
Hackers do governo iraniano têm um histórico de atacar infraestruturas críticas nos EUA, e é possível que esses ataques façam parte de sua estratégia para retaliar o país por causa da guerra de seis meses.
Até agora, os hackers iranianos tiveram sucesso limitado em seus ataques cibernéticos contra alvos dos EUA. Em março, um grupo hacktivista chamado Handala perturbou as operações da gigante de tecnologia médica Stryker. O governo dos EUA posteriormente acusou o Handala de ser operado pelo Ministério de Inteligência e Segurança do Irã (MOIS). Em seguida, o grupo reivindicou a autoria da invasão da conta de Gmail pessoal do diretor do FBI, Kash Patel.
A realidade é que alguns sistemas dentro de instalações de infraestrutura crítica estão expostos à internet e são relativamente fáceis de encontrar. No início deste mês, a empresa de segurança cibernética Forescout relatou ter encontrado mais de 2.800 controladores em sistemas de água dos EUA expostos online. Se um sistema está exposto, isso não significa automaticamente que os hackers podem assumir o controle e causar efeitos no mundo real. Mas isso aconteceu em alguns casos isolados em ataques recentes.
O FBI disse que alguns dos ataques cibernéticos em todo o país causaram perda de pressão, o que “poderia potencialmente permitir que águas subterrâneas não tratadas infiltrassem nos canos”, além de inundações.
A cidade de Braham, em Minnesota, uma das primeiras a relatar um incidente, teve que colocar sua estação de tratamento de água offline por algumas horas, instando seus cerca de 1.700 residentes a economizarem água. A cidade de Maple Plain, também em Minnesota, declarou brevemente estado de emergência. Em um condado nos arredores de Atlanta, Geórgia, autoridades locais disseram brevemente aos moradores para ferverem a água antes de usá-la como medida de precaução.
O pior efeito, no entanto, pode ser psicológico. Esses ataques foram amplamente cobertos pela imprensa nacional e local, fazendo com que as pessoas se preocupassem com a segurança de uma necessidade fundamental e básica como a água. Isso pode muito bem fazer parte dos objetivos dos hackers: espalhar pânico e medo.
