Por que as estações de tratamento de água ainda estão conectadas à Internet?

Dezenas de estações de tratamento de água nos EUA foram alvo de ataques cibernéticos desde que o presidente Donald Trump iniciou uma guerra com Israel contra o Irão em fevereiro. Os ataques cibernéticos a infraestruturas críticas são agora uma parte regular do mundo moderno, mas levantam a questão: por que é que essa infraestrutura está ligada à Internet?

O problema está nos controladores lógicos programáveis ​​(CLPs), que controlam diversas funções nas estações de tratamento de água. A Agência de Segurança Cibernética e de Infraestrutura (CISA) emitiu alertas sobre PLCs, incluindo um em julho, observando que “atores de ameaças” estavam alterando senhas para bloquear os operadores adequados das instalações e desconectando PLCs alterando seus endereços IP.

Acredita-se que os actores da ameaça sejam hackers afiliados ao governo do Irão, supostamente motivados pelo facto de os EUA e Israel terem iniciado uma guerra com aquele país em 28 de Fevereiro, bombardeando infra-estruturas e assassinando líderes de topo. O primeiro alerta desse tipo da CISA foi emitido em Abril, quando o Irão foi especificamente mencionado.

Os PLCs são instrumentos vitais e tê-los conectados à internet permite o monitoramento remoto. Eles são fabricados por diversas empresas, incluindo Rockwell Automation/Allen-Bradley, Schneider Electric e Siemens. Alterá-los, mesmo que seja de forma relativamente pequena, pode levar a uma perda de pressão da água, o que pode permitir que águas subterrâneas não tratadas penetrem nas tubulações, de acordo com a CISA.

Os PLCs são uma vulnerabilidade que pode levar a consequências potencialmente desastrosas. Na Geórgia, a Clayton County Water Authority e a Columbus Water Works sofreram recentes ataques cibernéticos no mês passado, de acordo com o FBI e a EPA, que provocaram interrupções na pressão da água. Suspeita-se que o Irã esteja por trás dos ataques.

Além de alterar a qualidade do abastecimento de água ou desligá-lo completamente, Betsy Soehren Jones, diretora executiva do Critical Infrastructure Security Consortium, disse ao Gizmodo que você também precisa pensar nos efeitos posteriores.

“E se aquela instalação de água estiver alimentando uma usina nuclear, você sabe, isso afetará as torres de resfriamento?” disse Jones. “Não se trata apenas da portabilidade, da capacidade de beber, é claro, e das vidas humanas, mas também para que serve essa água?”

Quando há uma interrupção, é necessário reverter para formas mais manuais de operação. E Jones diz que precisamos de exercícios semelhantes aos que já temos para outras emergências, como incêndios florestais, terremotos e furacões. Isso às vezes exige a mudança para o papel e o lápis, forçando a força de trabalho a aprender como as coisas poderiam ter funcionado há 10 ou 15 anos.

“Só precisamos ensinar esta geração a voltar ao papel muito, muito rapidamente. Isso vai acontecer. Isso não vai parar”, disse Jones. Ela diz que o problema é muito maior do que simplesmente saber se os dispositivos estão conectados à Internet.

“Não é o fato de eles estarem conectados à Internet que é sempre o problema. É mais sobre quando as informações voltam para a empresa. Como essa empresa e esse serviço público protegem as informações à medida que elas passam daquele dispositivo de campo para a companhia de água, indo para outro sistema de TI, etc.”, disse ela.

Jones apontou estados como Maryland, Virgínia e Califórnia como lugares onde os serviços públicos estão realmente indo bem. E não é coincidência que sejam estados com forte presença do Departamento de Defesa.

“Você vê mais regulamentações cibernéticas em estados que possuem instalações de alto nível do DOD porque querem garantir que a água não seja puxada”, acrescentando que isso é importante, “porque é uma questão de defesa nacional”.

Jones enfatizou que os atores estatais que visam infraestruturas críticas normalmente não se concentram na utilidade pela utilidade. Eles estão tentando atingir instalações de defesa ou fabricantes críticos ou uma fábrica que lhes interessa, talvez fabricando componentes para uma guerra: “Geralmente não é a utilidade que eles procuram; geralmente é a peça posterior que eles procuram”.

Jones deu o exemplo de um ataque cibernético contra infraestrutura crítica em Orlando, Flórida.

“Comece a pensar sobre o efeito dominó de quão crítica era aquela instalação específica e qual (o papel) ela desempenha naquela comunidade?” disse Jones. “A empresa de água de Orlando é de propriedade da cidade de Orlando. Eles têm 7 milhões de pessoas entrando e saindo daquela cidade todos os anos. Isso será uma questão bastante impactante se algo acontecer lá”, disse Jones.

Em 2021, muito antes do início da Guerra do Irão, hackers desconhecidos tentaram envenenar o abastecimento de água da Florida aumentando a quantidade de hidróxido de sódio, também conhecido como soda cáustica, nas águas do condado de Pinellas, de acordo com a CISA. A questão foi rapidamente identificada, mas num ambiente de ameaça elevada como uma guerra em curso com o Irão, basta um sucesso para causar pânico e problemas reais a jusante.

Os estados onde os hackers perseguiram os sistemas de água incluem Nova Jersey, Dakota do Sul e Michigan. Em Minnesota, o estado viu pelo menos três dúzias de ataques conhecidos aos sistemas municipais de água durante o verão, provavelmente ligados ao Irã, de acordo com o New York Times. Incrivelmente, o Presidente Trump não culpou o Irão pelos ataques a Minnesota. Ele disse em julho que Minnesota realmente atacou a si mesmo, uma afirmação ridícula sem base em fatos.

“Não é se, é quando”, disse Jones. “Isso vai acontecer porque nunca vamos gastar mais do que a China. Nunca vamos gastar mais do que a Rússia ou qualquer outro adversário. Só precisamos de assumir que eles já estão aqui e começar a fazer planos sobre como recuperar mais rapidamente quando isso acontecer.”

Não é apenas o abastecimento de água que precisa ser protegido. Os PLCs também são utilizados pelo setor de energia. Quedas de energia prolongadas seriam um problema sério que traz seus próprios desafios. E Jones observou que todos precisam de aprender uns com os outros à medida que as ameaças se tornam mais agudas: “O que devíamos fazer é aprender uns com os outros em todo o país para dizer, isto aconteceu nesta empresa de água, isto aconteceu nesta empresa de gás, isto aconteceu na empresa eléctrica”.