EUA: FERC alerta sobre OT em água

A FERC divulgou lições derivadas das auditorias fiscais de 2026 para entidades registradas na NERC do setor elétrico dos Estados Unidos. Segundo o que foi informado, a comunicação apontou possíveis observações de conformidade e riscos ligados a ferramentas de inteligência artificial e a sistemas de controle de terceiros, sem concluir que todo o setor descumprisse os padrões obrigatórios.

O que disseram as auditorias CIP da FERC?

A FERC afirmou, de acordo com os resumos de Morgan Lewis e McGuireWoods, que as lições das auditorias CIP de 2026 incluíram o registro de novas instalações de geração, o controle agregado de geração por afiliadas ou fornecedores, o uso de IA em ambientes conectados a redes reguladas por CIP e os riscos associados a terceiros. A McGuireWoods acrescentou que a maioria das entidades auditadas cumpria os padrões de confiabilidade CIP, embora ainda houvesse falhas, especialmente entre novos participantes e diante de tecnologias novas, como a inteligência artificial.

Que incidentes e exposições foram observados em água?

Segundo a Industrial Cyber, uma campanha teria afetado mais de 30 empresas de água em Minnesota por meio de PLCs expostos à internet, embora a atividade não tenha sido formalmente atribuída. Em paralelo, a Ampyx Cyber detalhou que a cifra de [mais de 100](https://ampyxcyber.com/blog/cisa-ot-binding-operational-directive) se referia a sistemas de água e esgoto expostos à internet que foram alvo de atividade maliciosa em julho de 2026, e não necessariamente a mais de 100 empresas comprometidas. Essa análise também indicou que muitos PLCs estavam conectados diretamente por modems celulares.

A Nozomi Networks, por sua vez, descreveu um ataque contra uma estação de bombeamento no qual teriam sido explorados diretamente PLCs Unitronics Vision expostos à internet. Em sua análise, a empresa recomendou atenção especial à porta EtherNet/IP 44818 em ambientes com PLCs Rockwell/Allen-Bradley e mencionou credenciais padrão sem alteração como vetor de risco.

O que mostrou a análise sobre petróleo e gás?

Uma análise da Dragos citada pela Industrial Cyber indicou que 29% dos casos de petróleo e gás analisados apresentavam segmentação deficiente entre TI e TO. O mesmo trabalho apontou que a VOLTZITE teria comprometido gateways celulares em infraestrutura norte-americana de petróleo e gás e depois avançado para estações de trabalho de engenharia.

Esse resultado, segundo o material disponível, não trouxe uma fonte independente adicional que confirmasse separadamente essa atribuição. Ainda assim, o quadro geral descrito pelos relatórios reunidos é consistente, acesso remoto mal configurado, exposição de equipamentos de controle e falhas de segmentação continuam aparecendo em água, energia e petróleo e gás nos Estados Unidos.