Primeiro, a resposta direta: um controlador lógico programável (CLP, ou PLC na sigla em inglês) é a pequena caixa que de fato liga a bomba, fecha a válvula e dispara o alarme na sua planta ou instalação. Desde o fim de julho de 2026, atacantes exploraram exatamente esse tipo de dispositivo, exposto diretamente à internet pública, em empresas de saneamento de pelo menos 12 estados dos EUA. Eles modificaram a lógica de operação dentro deles, desativaram alarmes e rotinas de desligamento seguro, e trocaram senhas e endereços de rede até que os operadores perderam o acesso aos próprios equipamentos. O impacto não foi vazamento de arquivos, e sim perda de pressão da água, alagamentos e estações forçadas a operar no modo manual. Se você administra uma linha de produção ou um prédio com sistemas de controle, a pergunta a responder hoje é simples e específica: existe um único controlador seu acessível pela internet pública?

O que aconteceu de fato

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA), o FBI e outras agências federais emitiram um alerta conjunto numerado AA26-097A, publicado originalmente em 7 de abril de 2026 e atualizado em 22 de julho de 2026. A atualização não foi cosmética: acrescentou orientações para detectar alterações maliciosas dentro de módulos de código reutilizáveis usados em programas de CLP da Rockwell Automation, e ampliou o escopo do hardware visado para incluir dispositivos da Schneider Electric, da Siemens e de outros fabricantes. Em 30 de julho de 2026, a CISA publicou um alerta separado pedindo ao setor de água e esgoto que proteja sua tecnologia operacional contra atividades voltadas especificamente para CLPs.

O método merece atenção justamente porque não é genial e não envolve nenhum zero-day caro. O atacante encontra um controlador exposto na internet e então usa o software de engenharia oficial — o mesmo software que o seu próprio engenheiro usa — para baixar o arquivo do projeto e editar a lógica ladder dentro dele. A partir daí, ele adultera as Add-On Instructions para desativar desligamentos seguros e alarmes, e falsifica o que as telas de IHM e SCADA exibem, de modo que o operador vê uma leitura perfeitamente normal enquanto o tanque ou a linha está fazendo algo totalmente diferente. Por fim, ele troca senhas e endereços IP nos dispositivos e instala um serviço SSH leve no modem do local para manter o acesso ativo depois de uma reinicialização. A ordem importa: a falsificação visual vem antes do dano, e é por isso que vários operadores perceberam tarde.

A escala conta o resto. Só em Minnesota, mais de 30 sistemas comunitários de água foram relatados como alvos, e a atividade se estendeu a outros estados, como Michigan, Nova Jersey, Geórgia e Dakota do Sul. Mais revelador do que o número foi a declaração do diretor interino da CISA em agosto de 2026: a equipe ainda estava encontrando controladores abertos na internet sem nenhuma senha definida, ou com a senha de fábrica ainda em uso. A mensagem dele ao setor tinha duas frases: tirem sua tecnologia operacional da internet e definam uma senha.

Por que isso importa se você opera uma instalação na Arábia Saudita

Porque é o mesmo hardware, os mesmos fabricantes e o mesmo hábito. Controladores da Rockwell, da Siemens e da Schneider fazem funcionar linhas de produção, estações de tratamento, bombas de prédios, chillers e sistemas de automação predial (BMS) no Reino, como em qualquer outro lugar. E o hábito que abriu a porta nesses incidentes existe em toda parte: o instalador pede acesso remoto para poder atender você rapidamente, uma porta é aberta no roteador do local ou um modem celular independente é instalado, e depois o arranjo temporário é esquecido e se torna permanente por anos. Ninguém documenta, ninguém revisa, e ele nunca aparece em nenhum inventário de TI — porque simplesmente não é da TI.

É exatamente por isso que a Autoridade Nacional de Cibersegurança da Arábia Saudita (NCA) emitiu os Controles de Cibersegurança para Tecnologia Operacional (OTCC-1:2022). Eles têm como alvo instalações industriais sensíveis em entidades governamentais e privadas e impõem uma base mínima de proteção aos sistemas de controle industrial. O documento vem com uma ferramenta de avaliação de conformidade e uma ferramenta de classificação de instalações para determinar o quão sensível é determinado local. Se você atua em água, energia, manufatura ou gestão de instalações, esses controles não são leitura opcional, e a onda deste verão dá a você um motivo operacional para antecipar o seu cronograma de implementação em vez de adiá-lo.

A lacuna real: TI é um mundo, TO é outro

A maioria das organizações aborda a segurança da tecnologia operacional com a mentalidade da TI de escritório, e esse é o problema central. No mundo da TI, sua primeira prioridade é a confidencialidade dos dados, você aplica patches todo mês e reinicia um servidor à noite sem grande transtorno real. No mundo da TO, a primeira prioridade é a continuidade e a segurança; um controlador pode funcionar dez anos sem atualização porque pará-lo significa parar a produção, o sistema operacional dele é antigo por concepção, e os protocolos que ele usa foram escritos numa época que presumia que a rede estava realmente isolada — por isso não incluem nenhuma autenticação nem criptografia.

A consequência é que as ferramentas comuns não servem aqui: um antivírus numa estação de IHM pode parar a produção, e uma varredura de vulnerabilidades convencional pode derrubar um controlador sensível. O que funciona é a arquitetura: separar as redes, controlar o único ponto de passagem entre elas e tornar somente leitura tudo o que sai do mundo das operações para o mundo dos negócios.

Sete ações para tomar esta semana

  • Faça o inventário do que está realmente exposto. Peça uma lista de todos os IPs públicos ligados às suas unidades e de todos os modems celulares instalados numa sala de controle. Essa lista costuma ser mais longa do que você imagina e contém dispositivos que ninguém da equipe de TI conhece.
  • Feche o acesso direto. Nenhum controlador ou IHM deve estar acessível pela internet pública. O acesso remoto passa por uma VPN ou por um gateway intermediário, com autenticação multifator e permissão com prazo limitado, aberta sob demanda e fechada em seguida.
  • Troque todas as senhas padrão. Sim, o conselho é velho e chato — e é justamente o que os investigadores ainda encontram escancarado em instalações reais hoje.
  • Segmente as redes. A rede do escritório e a rede de produção não podem ser uma única rede plana. O tráfego entre elas passa por um único ponto governado e monitorado.
  • Coloque a chave de modo em Run. A chave física do controlador bloqueia downloads remotos de lógica. Uma configuração simples e eficaz que não custa nada.
  • Mantenha uma cópia offline da lógica e da configuração dos controladores. Se a lógica for alterada ou uma senha for trocada, uma cópia confiável é a diferença entre se recuperar em horas e se recuperar em dias.
  • Monitore mudanças, não apenas invasões. O alerta que importa aqui não é "há um vírus", e sim "a lógica do controlador 7 mudou às 2:40 da madrugada e nenhuma ordem de manutenção foi aberta". Compare periodicamente a lógica em execução com a linha de base aprovada e registre as diferenças.

Onde isso entra nos projetos de digitalização que você está construindo

Todo projeto de digitalização de fábrica, armazém ou instalação traz o mesmo pedido: queremos um painel mostrando o desempenho da linha ao vivo e uma notificação no celular se uma bomba parar. O pedido é totalmente legítimo; o risco aparece na forma como ele é implementado. O caminho rápido é ligar o sistema em nuvem diretamente à rede de controle, ou abrir uma porta para que ele possa ler dela — e é exatamente isso que transforma uma sequência de incidentes como esta de notícia estrangeira em um incidente no seu próprio local.

O caminho correto custa apenas alguns dias a mais: um gateway de dados no meio que lê do mundo das operações e nunca escreve nele, um único sentido de fluxo de dados da produção para os painéis do negócio, uma identidade separada para cada integração com o menor privilégio com que ela consiga trabalhar, e um registro à prova de adulteração de cada comando que vai do sistema de negócios até o chão de fábrica. Quando projetamos sistemas de operações, armazém e manutenção na Origami, essa separação não é um item de segurança acrescentado no final — é uma decisão de arquitetura tomada no primeiro dia, porque incorporá-la depois significa reconstruir a integração do zero.

A lição prática da onda deste verão não é que a tecnologia operacional seja perigosa. É que as portas mais abertas dela também são as mais simples: um dispositivo esquecido na internet, uma senha padrão e o acesso temporário de um prestador que, sem ninguém perceber, virou permanente. Essas três se fecham com uma decisão da gestão e uma semana de trabalho, não com um orçamento excepcional.

Fontes