EUA: campanha contra água e resposta de NY

Linha do tempo da operação

Cadeia de ataque e TTPs

A campanha em Minnesota, segundo o material disponível, seguiu uma sequência relativamente simples, mas eficaz: acessos expostos à internet, alteração de credenciais ou de parâmetros de rede, perda de visibilidade para os operadores e degradação da capacidade de controle em OT. Não aparece uma intrusão longa de espionagem nem um movimento lateral complexo dentro de redes corporativas. O centro de gravidade está na tecnologia de operação industrial.

O vetor inicial mais consistente, de acordo com a Rescana, é T0883, Internet Accessible Device. Essa classificação combina com vários dados do pacote. A Shieldworkz citou modems e roteadores celulares industriais, inclusive equipamentos da Sierra Wireless, Cradlepoint e Moxa, com credenciais padrão, falhas de execução remota sem autenticação ou túneis VPN frágeis. A LevelBlue, na mesma linha, afirmou que a evidência pública aponta para PLCs, interfaces HMI, modems celulares pouco protegidos, serviços de acesso remoto e configurações de terceiros em ambientes OT. A CISA, por sua vez, descreveu casos em que os atacantes trocaram senhas para bloquear o acesso dos operadores e alteraram endereços IP para isolar os PLC da rede.

Esse padrão sugere uma tática de negação operacional mais do que de destruição física imediata. Quando o atacante consegue alterar credenciais, forçar desconexões ou desativar alarmas, o efeito prático é cegar o operador. A ES News, citando o FBI, disse justamente que os atacantes podem deixar os operadores sem visibilidade ao trocar senhas ou desativar alarmes. Isso explica por que várias utilities tiveram de voltar ao controle manual. Também explica por que, em alguns casos, foram emitidos avisos para ferver a água apesar de não haver evidência de contaminação. O problema operacional não era químico, mas de confiança no estado do processo e na capacidade de monitoramento remoto.

A telemetria celular aparece como ponto de apoio recorrente. A Shieldworkz informou que controladores de telemetria celular e comunicações automatizadas de SCADA foram comprometidos. Esse tipo de infraestrutura costuma mediar o contato entre o ambiente da planta e o operador central. Quando essa camada cai, o sistema continua existindo, mas a operação fica degradada. Os técnicos perdem telemetria, alarmes e capacidade de resposta rápida. Daí a migração para o modo manual e a necessidade de inspeção física local, algo que também foi relatado por Quadratín, NBC News e ABC News.

No que diz respeito às famílias de equipamentos, o material cita uma linha clara. A CISA falou primeiro em PLC Unitronics com HMI. Depois, Tenable e CastleRockSky ampliaram o foco para Schneider Electric, Siemens e Rockwell Automation, e a nota da CastleRockSky enfatizou o CVE-2021-22681 em controladores Rockwell Automation Logix. A DeNexus, de forma mais específica, identificou os dispositivos afetados publicamente como Rockwell Automation/Allen-Bradley MicroLogix 1100 e 1400. Essa convergência sugere que a campanha não ficou restrita a uma única marca, mas a um ecossistema de ativos OT expostos, com pontos de exploração e de operação parecidos.

No plano das TTPs, a história do caso pode ser reconstruída assim: reconhecimento de ativos expostos, acesso por meio de dispositivos acessíveis pela internet, interferência em autenticação e endereçamento, perda de controle remoto, interrupção de comunicações OT e passagem para operação manual. O material não traz indicadores públicos de exfiltração de dados dentro da campanha contra a água nos Estados Unidos. Também não há pagamento de resgate nem nota de ransomware. Esse ponto é relevante porque evita confundir esse episódio com o caso Oldelval, onde há referências a ransomware ou a leak sites, embora a atribuição concreta não esteja fechada e a companhia tenha esclarecido que a operação física do oleoduto não foi impactada.

Matriz técnica de TTPs

Impacto regional

Panorama regional

O material não se limita a descrever incidentes isolados. Ele também mostra como a campanha nos Estados Unidos reorganiza a conversa regulatória e de investimento na região. O caso americano funciona como demonstração de uma ameaça OT muito concreta, enquanto os episódios latino-americanos servem para medir a capacidade institucional de absorver ocorrências semelhantes. Nesse contraste, o Chile aparece com o maior nível de maturidade normativa, a Argentina com lacunas de governança ainda visíveis, o Uruguai com um ecossistema de monitoramento e equipes nacionais de resposta, e Peru, Colômbia e Brasil como mercados que reproduzem a cobertura jornalística da campanha, sem trazer no research dados locais adicionais de impacto físico sobre sua própria infraestrutura hídrica.

Nos Estados Unidos, a combinação de alerta federal, discussão sobre atribuição e resposta orçamentária de Nova York mostra que o impacto não é apenas técnico. Ele também é regulatório. O estado que não sofreu o ataque decidiu financiar 153 utilities para reduzir brechas em segurança operacional, com tetos de 50.000 dólares para avaliações e 100.000 dólares para melhorias, além de assistência técnica da EFC. Essa arquitetura de subsídios se apoia em padrões mínimos já vigentes. O efeito prático é duplo. De um lado, reforça a higiene básica. De outro, institucionaliza um processo de conformidade que obriga a inventariar ativos, corrigir configurações e reportar incidentes.

O detalhe técnico importa porque o ataque mostrou que as utilities não foram atingidas na periferia administrativa, mas na camada que move a água. O material insiste que a qualidade da água não foi comprometida. Essa precisão não reduz a gravidade. Um sistema pode continuar entregando água segura e, ainda assim, perder telemetria, controle remoto e capacidade de resposta rápida. O impacto operacional, a pressão sobre a rotina e o custo de recuperação são reais. Além disso, a necessidade de voltar à operação manual por horas ou dias aumenta a carga sobre as equipes e amplia o risco de erro humano.

Argentina

O caso Oldelval é a peça mais útil do bloco argentino porque mistura incidente verificável, resposta corporativa e vazio normativo. A empresa informou à CNV um incidente de cibersegurança em seus sistemas administrativos. A companhia sustentou que o transporte de petróleo não foi afetado, que acionou o protocolo interno, recuperou os sistemas e retomou a operação normal. Várias coberturas repetem essa linha e destacam que o SCADA responsável por bombeio e transporte não foi atingido.

Ainda assim, a forma como o material trata o caso é reveladora. A Datatrends Latam o classifica como ransomware RaaS e o usa como exemplo de fragilidade de governança em infraestrutura energética. Ransomware.live, Dexpose, Darkfield e outros rastreadores registram a aparição da Oldelval em leak sites associados ao TheGentlemen ou ao Incransom, mas essas entradas não equivalem a uma validação oficial de atribuição. O que fica sólido é que a Argentina não tem uma lei integral de cibersegurança voltada especificamente à infraestrutura crítica energética. A Lei 26.388 tipifica crimes informáticos, mas não define obrigações de proteção, notificação ou padrões mínimos para operadores privados. A Decisão Administrativa 641/2021 cria um comitê e diretrizes para o setor público, mas não resolve a camada privada da infraestrutura crítica.

Esse vazio regulatório importa para além da Oldelval. A Masindustrias descreve um nível de maturidade OT desigual, com tecnologias legadas e baixa visibilidade em tempo real. A LACNIC, por outro lado, mostra que existem vários CSIRTs e CERTs na Argentina, inclusive capacidade especializada para setores críticos. O problema não é ausência total de resposta, e sim dispersão de responsabilidades e falta de um marco setorial vinculante que obrigue a prevenir, reportar e remediar com critérios homogêneos.

Chile

O Chile é o contraponto mais organizado do material. A Biblioteca do Congresso Nacional e a Zynap resumem uma lei de cibersegurança que cobre eletricidade, combustíveis, água potável e saneamento, além de telecomunicações e infraestrutura digital. A definição de operador de importância vital inclui explicitamente instituições que prestam serviços de água potável e saneamento. A Resolução Exenta 187 reforça essa leitura e associa a classificação à dependência funcional do serviço e à possível afetação de operações físicas ou de informação crítica.

O eixo operacional está nos prazos. O alerta precoce ao CSIRT Nacional deve ser enviado em até três horas. A atualização inicial, em até 72 horas, ou em 24 horas se se tratar de um operador de importância vital com comprometimento de serviços essenciais. O relatório final deve ser apresentado em 15 dias corridos. A Lei21663.info acrescenta que o efeito significativo, critério que aciona o dever de notificação, abrange continuidade do serviço essencial, integridade física ou saúde das pessoas e tratamento de dados pessoais. Em outras palavras, o Chile já tem uma mecânica de reporte compatível com a dinâmica de incidentes OT, em que cada hora conta.

Growmktech e Mister-IT Tech completam o quadro com medidas técnicas. Segmentação de OT em zonas de segurança, separação lógica, monitoramento de anomalias em SCADA e PLC, gestão documentada de riscos, continuidade e recuperação. No Chile, o tema não fica só em princípios. Há um marco, uma classificação de operadores e uma rota de notificação já descrita em materiais técnicos e legais.

Uruguai

O Uruguai aparece no research menos por um incidente e mais por sua arquitetura institucional. O CERTuy figura como a equipe nacional de resposta a incidentes, com estatísticas públicas sobre incidentes de segurança da informação. A TIUruguay apresenta as plantas de água potável como parte do conjunto de infraestruturas de alta prioridade e sob monitoramento constante, junto com energia, telecomunicações, transporte, finanças e saúde. A Convergint, por sua vez, detalha serviços específicos para água e saneamento, incluindo acesso seguro, monitoramento ambiental e detecção de ameaças ciberfísicas.

Isso não significa imunidade. Significa que existe uma conversa institucional e de mercado em torno da infraestrutura crítica. A visibilidade é melhor do que em outros países do bloco, mas o material não traz um incidente uruguaio comparável a Minnesota ou Oldelval dentro desta investigação. O que ele entrega é estrutura: um CERT nacional, estatísticas semestrais e um mercado que já vende monitoramento para serviços de água e saneamento.

Brasil

O Brasil não aparece por um caso próprio, mas como amplificador regional da notícia americana. Tecmundo e CNN Brasil divulgaram a campanha de Minnesota como um ataque coordenado a mais de 30 sistemas de água. O Globo acrescentou que não havia indícios de alteração da água ou risco para o consumo. O valor dessas coberturas é contextual. Elas mostram que o incidente foi lido na região como um evento OT de alcance internacional, e não apenas como mais uma notícia dos Estados Unidos.

Colômbia

Na Colômbia, o material usa dois planos. Primeiro, a cobertura do ataque aos Estados Unidos por El Colombiano e outros veículos, com foco no fato de que não há indícios de água alterada nem risco para a população. Segundo, a leitura regulatória da Datatrends Latam, que aponta a existência da Lei 1581 de Proteção de Dados Pessoais e da SIC como autoridade de dados, mas ausência de uma regulação específica de cibersegurança para infraestrutura energética comparável à NIS2. O contraste é útil porque mostra que, mesmo com regulação de dados pessoais, um país pode não ter um marco específico para proteger OT crítica.

Peru

O Peru aparece como outro país em que o caso circulou pela imprensa. O Comercio reproduziu o alerta conjunto do FBI e da EPA e relatou que algumas plantas migraram para operações manuais sem interrupção do serviço. WWWhatsNew, MarketScreener, Reuters e outros veículos citados pelo research reforçaram o mesmo enquadramento. A contribuição peruana ao dossiê não é um caso local, mas a forma como a cobertura regional transmitiu a escala do incidente.

Estados Unidos

Aqui está o núcleo operacional. Minnesota foi o epicentro inicial e o estado com maior visibilidade pública. Depois, surgiram relatos em Michigan, Nova Jersey, Dakota do Sul, Geórgia e outros estados, com um total que a CBS News elevou para ao menos uma dúzia. Os efeitos documentados incluem queda de pressão, emissão de avisos para ferver a água, paralisações temporárias de poços e plantas, perda de funcionalidade de monitoramento e controle, e necessidade de operação manual. A qualidade da água não foi comprometida, mas a infraestrutura ficou degradada.

Geórgia, segundo a CBS News, registrou queda de pressão no condado de Clayton e um aviso para ferver a água para cerca de 300 mil clientes na região de Atlanta. Michigan reportou um pequeno número de comunidades afetadas. Nova Jersey teve ao menos duas comunidades comprometidas. Dakota do Sul sofreu ataque a uma planta de saneamento em Rapid City. Wisconsin aparece como possível afetado em algumas coberturas, embora sem confirmação estadual. A distribuição geográfica confirma que o problema não é local, e sim setorial.

Indicadores técnicos

O material consolidado não publicou IOCs clássicos, como hashes, domínios de infraestrutura maliciosa, IPs, certificados ou nomes de malware específicos. Ainda assim, há referências técnicas observáveis que funcionam como indicadores de exploração e hardening. Elas estão listadas abaixo porque podem ajudar na priorização defensiva, embora não sejam IOCs tradicionais.

Análise para equipes de segurança

A lição operacional mais clara é que a exposição direta de OT à internet continua sendo o ponto de falha mais barato para um atacante e o mais caro para o operador. O material mostra que o agressor não precisou de uma cadeia sofisticada de exploração nem de uma intrusão longa. Bastou encontrar PLC, modems celulares, gateways remotos ou interfaces HMI expostas ou mal protegidas. Quando isso acontece, o impacto talvez não apareça como queda total do serviço, mas sim como perda de monitoramento, de controle remoto e de capacidade de reação.

Para equipes de segurança e OT, a primeira prioridade é inventariar toda a exposição pública. CISA e Nozomi Networks disseram isso de forma explícita. É preciso identificar PLC, HMI, roteadores industriais, modems celulares, VPNs e gateways acessíveis pela internet, e fechar o que não tiver justificativa operacional documentada. A simples existência de um dispositivo com interface web ou de telemetria não significa que ele deva ficar exposto. Se o acesso remoto for necessário, ele precisa passar por gateway seguro, MFA e listas de IP permitidas, com registro e supervisão.

A segunda prioridade é revisar credenciais e configurações de fábrica. A campanha mostrou abuso de senhas padrão, troca de credenciais pelos atacantes e sequestro da visibilidade operacional. Em plantas onde os PLC permanecem com senhas estáticas ou compartilhadas, a barreira entre um incidente menor e uma interrupção de serviço fica muito fina. Backups limpos de imagens de PLC, também recomendados pela CISA, não são luxo. São a diferença entre recuperar e reconstruir sob pressão.

A terceira prioridade é a segmentação entre OT e TI. A Growmktech propõe isso para o Chile, mas a recomendação vale para qualquer jurisdição. A camada de controle industrial não pode ficar colada a redes administrativas, acessos de integradores externos e plataformas de monitoramento sem controles rígidos. O caso de Minnesota sugere ainda que uma dependência compartilhada, como um MSP ou uma plataforma centralizada de acesso remoto, pode ampliar o alcance de uma intrusão. Isso exige revisar terceiros, contratos de suporte, túneis VPN e gateways celulares com o mesmo rigor aplicado a um ativo interno.

A quarta prioridade é detectar mudanças não autorizadas em configurações OT. O advisory da CISA e a leitura da Tenable mencionam manipulação de módulos reutilizáveis, exfiltração de arquivos de projetos de PLC e alterações de configuração. As equipes de defesa precisam procurar anomalias em programas de PLC, diferenças entre baseline e configuração ativa, mudanças de IP, alterações em alarmes, eventos de login malsucedido, desligamento de telemetria e qualquer transição inesperada para operação manual. A observabilidade precisa chegar ao processo, e não ficar só na rede.

A quinta prioridade é a governança de incidentes. Uma utility de água não pode improvisar o que reporta, para quem e em quanto tempo. O Chile oferece um modelo claro de prazos e formulários, e Nova York usa o orçamento para transformar padrões mínimos e assistência técnica em prática. Já marcos fracos acabam dependendo da boa vontade do operador ou do barulho da imprensa. Em infraestrutura crítica, o tempo de notificação faz parte do controle. Não serve se o regulador só souber quando o incidente já tiver sido resolvido ou quando o operador já tiver voltado ao modo manual sem deixar rastreabilidade.

No plano tático, o caso sugere revisar imediatamente cinco pontos:

1. Exposição pública de PLC, HMI, gateways e modems celulares.
2. Senhas padrão ou compartilhadas.
3. Acesso remoto de terceiros e MSP sem MFA forte.
4. Baselines de configuração para detectar mudanças em PLC e SCADA.
5. Capacidade de alternar para modo manual com procedimentos documentados e testes periódicos.

O caso Oldelval acrescenta outra lição. Embora a operação de transporte não tenha sido interrompida, o impacto sobre sistemas administrativos foi suficiente para acionar protocolos, notificação à CNV e posterior recuperação. Para empresas de energia, água e saneamento, isso significa que a segmentação entre administração e operação precisa ser real, e não apenas declarada. Se um incidente administrativo puder avançar até atingir SCADA ou telemetria, o problema deixa de ser de TI e passa a ser de continuidade de serviço.

Limitações do material

O material consolida um grande volume de coberturas jornalísticas e análises técnicas, mas não traz uma atribuição oficial definitiva sobre a autoria da campanha contra sistemas de água nos Estados Unidos. Diversas fontes mencionam suspeitas ou probabilidades ligadas ao Irã ou ao CyberAv3ngers, porém essas referências aparecem formuladas como hipóteses ou avaliações preliminares, e não como conclusão fechada.

Também não há IOCs clássicos no pacote, como hashes, domínios maliciosos, endereços IP, certificados ou nomes de malware específicos para a campanha de Minnesota. A pesquisa técnica disponível se apoia em comportamento, famílias de PLC, portas industriais e padrões operacionais observados. Isso limita a possibilidade de produzir uma lista de indicadores útil para threat hunting tradicional.

O alcance exato dos estados afetados também varia conforme a fonte e a data de publicação. O material passa de sete estados para ao menos uma dúzia. Essa diferença não é necessariamente contraditória, mas mostra uma campanha em evolução, com reportes escalonados e confirmações parciais. Algumas menções a Wisconsin aparecem como possíveis afetados, sem confirmação estadual.

No caso Oldelval, a confirmação de ransomware e a atribuição a grupos como TheGentlemen ou Incransom não estão uniformemente fechadas. A empresa confirmou um incidente informático que atingiu sistemas administrativos e não a operação de transporte, mas as leituras sobre ransomware vêm em parte de sites de vazamento e rastreadores de incidentes. Por isso, o episódio serve melhor como caso de governança e exposição regional do que como atribuição técnica definitiva.

Por fim, a cobertura regional sobre Chile, Uruguai, Colômbia, Brasil e Peru tem densidades diferentes. O Chile oferece material normativo e técnico muito sólido. O Uruguai traz estrutura institucional. Colômbia, Brasil e Peru aparecem sobretudo como mercados de cobertura e recepção da notícia americana, com menos evidência local própria dentro do research. Não foram incluídos países sem fatos verificáveis adicionais porque o pacote não trouxe material suficiente para desenvolvê-los sem especulação.