Uma vaga de ciberataques contra sistemas municipais de água e águas residuais nos Estados Unidos está a expor vulnerabilidades na segurança das infra-estruturas críticas e a colocar em evidência os riscos associados à ligação de sistemas de tecnologia operacional (OT) à Internet.

Os ataques afectaram sistemas de água em pelo menos 12 estados norte-americanos, segundo informações divulgadas no início de Agosto. Naquele que foi um dos casos mais significativos, mais de 30 sistemas municipais de água no Minnesota foram atingidos entre 26 e 27 de Julho. Também foram registados incidentes no Michigan e noutros estados.

As autoridades norte-americanas estão a investigar a origem dos ataques. Fontes oficiais e de inteligência suspeitam de uma possível ligação a actores associados ao Irão, embora a atribuição não tenha sido estabelecida de forma definitiva em todos os casos.

PLC expostos à Internet

Um dos principais pontos de preocupação está nos controladores lógicos programáveis (PLC) utilizados para controlar equipamentos físicos das instalações, como bombas, motores e válvulas.

De acordo com alertas das autoridades norte-americanas, actores associados ao Irão têm procurado explorar PLC acessíveis através da Internet, podendo obter acesso a sistemas de tecnologia operacional utilizados no funcionamento das infra-estruturas.

Em alguns dos incidentes registados, os ataques provocaram perturbações no funcionamento dos sistemas, incluindo problemas de pressão da água e situações que obrigaram operadores a passar temporariamente para processos manuais. Não há, contudo, indicação de que a água potável tenha sido contaminada na sequência desta vaga de ataques.

A situação levou o FBI, a Environmental Protection Agency (EPA) e outras entidades federais norte-americanas a alertar os operadores de sistemas de água para a necessidade de reforçar as medidas de protecção.

Sistemas antigos e controlos insuficientes

O problema não reside apenas na sofisticação dos atacantes. Os incidentes estão também a evidenciar fragilidades básicas presentes em muitas infra-estruturas de água.

Entre os riscos identificados encontram-se software desactualizado, deficiências na segurança das redes, controlos de acesso insuficientes e falta de formação em cibersegurança. A situação é particularmente complexa para pequenas entidades municipais, que frequentemente dispõem de recursos financeiros e equipas técnicas limitados.

A fragmentação do sector constitui outro desafio. Existem dezenas de milhares de sistemas de água nos Estados Unidos, muitos deles de pequena dimensão e com diferentes níveis de maturidade em matéria de cibersegurança. Esta realidade torna mais difícil garantir uma abordagem uniforme à protecção das infra-estruturas.

Cibersegurança passa directamente para o mundo físico

O caso demonstra de forma particularmente clara a convergência entre cibersegurança e segurança física.

Num ambiente empresarial convencional, um ciberataque pode resultar no roubo de informação ou na indisponibilidade de sistemas. Numa infraestrutura de água, o comprometimento de um sistema digital pode, em determinadas circunstâncias, afectar directamente equipamentos físicos e a prestação de um serviço essencial.

É precisamente esta ligação entre IT e OT que torna os sistemas industriais um alvo particularmente sensível. Um atacante que consiga ultrapassar as barreiras de segurança e alcançar um controlador ligado à rede pode potencialmente interferir com processos físicos.

A questão é especialmente relevante numa altura em que cada vez mais infra-estruturas críticas estão ligadas a redes digitais para permitir monitorização e operação remotas.

Recomendações passam por medidas básicas

Perante a vaga de ataques, as autoridades norte-americanas recomendaram aos operadores a adopção de medidas como a revisão das ligações externas, reforço da autenticação, alteração de credenciais predefinidas e separação dos sistemas críticos da Internet sempre que tal seja possível.

A CISA aconselhou também os operadores a validarem as ligações externas dos seus sistemas, enquanto as autoridades de segurança têm defendido a capacidade de passar rapidamente para operação manual caso os sistemas digitais sejam comprometidos.

A capacidade de operar manualmente é particularmente importante numa infraestrutura crítica: mesmo quando a componente digital é afectada, a organização deve conseguir manter os serviços essenciais enquanto investiga e recupera do incidente.

Um alerta que ultrapassa o sector da água

Embora os ataques estejam concentrados no sector da água norte-americano, as vulnerabilidades identificadas são comuns a outras infra-estruturas críticas.

Energia, tratamento de águas residuais, transportes, indústria, hospitais e outras instalações dependem cada vez mais de sistemas digitais para controlar processos físicos.

O caso norte-americano demonstra, por isso, que proteger uma infraestrutura crítica já não significa apenas proteger servidores, computadores e bases de dados. É necessário proteger também os sistemas que permitem abrir válvulas, controlar bombas, gerir pressão, alimentar motores ou operar equipamentos industriais.

Para os responsáveis de segurança, o principal alerta está precisamente nessa convergência: uma vulnerabilidade digital pode deixar de ser apenas um problema informático e transformar-se rapidamente num problema operacional, físico e, em determinados sectores, numa ameaça à continuidade de serviços essenciais.