Cibersegurança no saneamento: ataque paralisa ETA -

Um ataque cibernético coordenado contra sistemas de abastecimento de água no estado de Minnesota, nos Estados Unidos, acendeu um alerta internacional sobre a proteção digital de infraestruturas essenciais. Entre os dias 26 e 27 de julho de 2026, mais de 30 sistemas comunitários de água foram alvo de acessos maliciosos, segundo autoridades estaduais.

Na cidade de Braham, uma instalação de produção de água chegou a ficar temporariamente fora de operação. A unidade foi restabelecida em menos de duas horas, porém o episódio demonstrou como uma invasão digital pode ultrapassar os limites dos computadores administrativos e alcançar processos físicos responsáveis pelo abastecimento da população.

Embora não tenha sido divulgado qualquer comprometimento da qualidade da água, o incidente reforça que a cibersegurança no saneamento precisa fazer parte da gestão operacional, da manutenção, da automação, do planejamento de emergências e da governança corporativa das prestadoras.

O caso também mostra que pequenas cidades e sistemas de menor porte não estão fora do alcance dos invasores. Pelo contrário, estruturas com equipes reduzidas, equipamentos antigos e acessos remotos pouco protegidos podem ser consideradas alvos mais fáceis.

O que aconteceu nos sistemas de água de Minnesota

O Departamento de Tecnologia da Informação de Minnesota informou que mais de 30 sistemas comunitários de abastecimento foram atingidos por uma ação cibernética coordenada em um intervalo aproximado de 48 horas.

Além de Braham, as cidades de Maple Plain, Plymouth e South St. Paul relataram tentativas ou ocorrências relacionadas aos ataques. As autoridades ainda não divulgaram a lista completa das localidades afetadas nem todos os detalhes técnicos, pois a investigação permanece em andamento.

Em Braham, a estação saiu de operação na manhã de 27 de julho. Pouco menos de duas horas depois, o município informou que o funcionamento havia sido restabelecido e atribuiu a interrupção a um ataque malicioso contra os sistemas informatizados de operação.

A resposta estadual envolveu equipes de tecnologia, autoridades de saúde pública e órgãos federais. O objetivo principal foi avaliar os impactos, apoiar a recuperação e verificar se existia algum risco para a segurança do abastecimento.

As informações disponíveis indicam que a ação parece ter buscado principalmente interromper os serviços. Até o momento, não foram apresentadas evidências públicas de tentativa de obtenção de resgate financeiro nem de alteração intencional da qualidade da água. Entretanto, a ausência de consequências mais graves não reduz a importância do episódio. (CBS News⁠)

Por que uma ETA pode ser atingida por um ataque digital

As estações de tratamento e os sistemas de distribuição modernos utilizam diferentes recursos de automação. Sensores medem níveis, vazões, pressões, turbidez, cloro residual e outras variáveis. Controladores enviam comandos para bombas, válvulas, dosadores e equipamentos auxiliares.

Além disso, as informações são apresentadas aos operadores por meio de sistemas supervisórios, computadores industriais e interfaces homem-máquina, conhecidas como IHM ou HMI. Em muitos casos, esses dispositivos podem ser acessados remotamente para manutenção, acompanhamento ou suporte técnico.

Essa conectividade melhora a produtividade e permite respostas mais rápidas. Contudo, quando não é adequadamente protegida, também cria portas de entrada para invasores.

Um criminoso que consiga acessar uma interface operacional poderá, dependendo do nível de permissão e da configuração do sistema, visualizar informações em tempo real, alterar parâmetros, desligar equipamentos ou interferir na sequência automática do tratamento.

Por isso, a cibersegurança no saneamento não deve ser tratada apenas como proteção de computadores de escritório. Ela precisa alcançar toda a tecnologia operacional utilizada na captação, no tratamento, na reservação, na distribuição de água e no esgotamento sanitário.

A Agência de Proteção Ambiental dos Estados Unidos alerta que interfaces homem-máquina desprotegidas podem permitir que usuários remotos não autorizados visualizem e ajustem configurações dos sistemas em tempo real. Consequentemente, essas alterações podem interromper processos de água ou esgoto. (US EPA⁠)

O que são redes de TI e redes de automação

Para compreender os riscos, torna-se necessário diferenciar duas áreas tecnológicas.

A tecnologia da informação, normalmente chamada de TI, abrange sistemas administrativos, e-mails, arquivos, bancos de dados, faturamento, recursos humanos, atendimento ao cliente e gestão financeira.

Por outro lado, a tecnologia operacional, conhecida como TO ou OT, controla processos físicos. Nessa categoria estão sistemas supervisórios, controladores lógicos programáveis, estações de engenharia, painéis de automação, sensores e equipamentos de campo.

Em uma companhia de saneamento, um ataque à TI pode interromper o faturamento, o atendimento ou o acesso aos documentos. Já um ataque à tecnologia operacional pode comprometer o acionamento de bombas, o controle de reservatórios ou a dosagem de produtos químicos.

Entretanto, as duas redes frequentemente possuem algum tipo de integração. Assim, uma invasão iniciada por um e-mail malicioso, uma senha vazada ou um computador administrativo desatualizado pode avançar em direção ao ambiente operacional quando não existe uma separação adequada.

Essa possibilidade transforma a segmentação das redes em uma das principais medidas de cibersegurança no saneamento.

Quais equipamentos podem se tornar alvos

Os sistemas de automação de uma prestadora possuem diferentes pontos que precisam ser protegidos. Entre os ativos mais importantes encontram-se:

Controladores lógicos programáveis

Os controladores lógicos programáveis, conhecidos como CLPs ou PLCs, recebem informações dos sensores e executam comandos automáticos. Eles podem ligar bombas, abrir válvulas, controlar níveis e ajustar processos.

Caso um controlador seja acessado indevidamente, comandos operacionais poderão ser alterados ou interrompidos.

Sistemas supervisórios

O SCADA é o sistema que reúne informações de diferentes unidades e permite acompanhar o processo em uma tela central. Ele pode mostrar pressões, níveis, vazões, alarmes e o estado dos equipamentos.

Por concentrar informações e comandos, o supervisório representa um ativo crítico.

Interfaces homem-máquina

As IHMs são telas utilizadas para visualizar e controlar equipamentos. Algumas ficam instaladas nos painéis, enquanto outras podem ser acessadas por computadores ou navegadores.

Interfaces conectadas diretamente à internet, sem autenticação reforçada, representam um risco elevado.

Estações de engenharia

Esses computadores são utilizados para programar controladores e modificar configurações da automação. Portanto, uma estação de engenharia comprometida poderá permitir alterações profundas no processo.

Roteadores, switches e firewalls

Esses equipamentos organizam e protegem a comunicação entre os dispositivos. Uma configuração inadequada pode expor a rede operacional ou permitir a movimentação do invasor entre diferentes ambientes.

O WaterISAC recomenda que o monitoramento de segurança alcance controladores, IHMs, servidores SCADA, equipamentos de rede, estações de engenharia e servidores de autenticação. O objetivo deve ser identificar acessos não autorizados, presença de malware e comportamentos anormais. (WaterISAC⁠)

Operação manual reduziu o impacto do ataque

Um dos principais ensinamentos do caso de Minnesota está relacionado à capacidade de continuar operando quando a automação deixa de funcionar.

Uma estação pode possuir equipamentos avançados e modernos. Entretanto, se toda a operação depender exclusivamente de computadores conectados, uma falha digital poderá se transformar rapidamente em interrupção do abastecimento.

Por essa razão, os procedimentos manuais precisam estar documentados, testados e disponíveis. Os operadores devem saber como manter os processos essenciais de maneira segura quando o sistema supervisório estiver indisponível.

Isso não significa abandonar a automação. Pelo contrário, significa estabelecer redundância operacional.

Uma unidade resiliente deve conseguir identificar o problema, isolar os sistemas afetados e manter as funções essenciais enquanto a equipe técnica investiga o incidente.

Dessa forma, a cibersegurança no saneamento também depende do conhecimento prático dos operadores. Em uma emergência, uma equipe bem treinada pode impedir que um incidente digital provoque uma crise no abastecimento.

Principais riscos para o tratamento e a distribuição

Um ataque a sistemas de automação pode produzir consequências diferentes, conforme o nível de acesso obtido. Entre os principais riscos estão:

desligamento de bombas de captação ou distribuição;
alteração indevida dos níveis de reservatórios;
abertura ou fechamento incorreto de válvulas;
perda de comunicação com unidades remotas;
manipulação de informações mostradas aos operadores;
desativação ou ocultação de alarmes;
alteração de parâmetros de dosagem;
interrupção do registro de dados operacionais;
comprometimento de computadores de manutenção;
paralisação de sistemas comerciais e de atendimento.

Não significa que todos esses efeitos tenham ocorrido em Minnesota. Os detalhes técnicos do ataque não foram integralmente divulgados. Contudo, esses cenários são considerados possíveis em ambientes de automação desprotegidos.

Além disso, os riscos não se limitam à operação. Um incidente também pode gerar custos com perícia, recuperação de sistemas, substituição de equipamentos, horas extras, comunicação com a população e contratação de especialistas.

Consequentemente, investir em cibersegurança no saneamento tende a ser menos oneroso do que recuperar uma operação comprometida.

Pequenos sistemas também precisam de proteção

Durante muitos anos, predominou a percepção de que somente grandes companhias ou instalações estratégicas seriam atacadas. O episódio de Minnesota enfraquece essa interpretação.

Sistemas menores podem possuir equipamentos conectados à internet, senhas mantidas por longos períodos, programas sem atualização e contratos de suporte que utilizam acesso remoto permanente.

Além disso, uma equipe reduzida pode acumular diferentes funções. O mesmo profissional pode cuidar de informática, automação, telecomunicações e manutenção. Embora essa realidade seja comum, ela dificulta a criação de controles especializados.

Os invasores também podem utilizar ferramentas automáticas para localizar dispositivos expostos. Nesse caso, não é necessário conhecer previamente o nome da companhia ou da cidade. Basta encontrar um equipamento acessível e com proteção insuficiente.

Portanto, o porte da prestadora não elimina a necessidade de cibersegurança no saneamento. As medidas devem ser proporcionais aos riscos, mas precisam existir em qualquer operação conectada.

Oito ações prioritárias para as prestadoras

A prevenção exige uma combinação de tecnologia, procedimentos e capacitação. Algumas medidas possuem aplicação imediata.

1. Elaborar um inventário de ativos

A companhia precisa saber quais equipamentos estão conectados, onde estão instalados, qual software utilizam e quem possui acesso.

Não é possível proteger um dispositivo desconhecido. Por isso, o inventário deve incluir computadores, controladores, servidores, IHMs, roteadores, modems, sensores inteligentes e estações de engenharia.

2. Separar as redes administrativas e operacionais

A rede de e-mails e sistemas comerciais não deve possuir comunicação livre com a rede de automação.

A segmentação cria barreiras e reduz a possibilidade de um invasor avançar da TI para a operação. Além disso, as conexões necessárias devem ser controladas por regras específicas e monitoradas.

3. Eliminar acessos diretos pela internet

Sistemas supervisórios, controladores e IHMs não devem permanecer expostos diretamente à internet.

Quando o acesso remoto for indispensável, deve ser realizado por meio de conexão segura, autenticação multifator, autorização temporária e registro das atividades.

4. Trocar senhas padrão

Equipamentos industriais podem ser instalados com usuários e senhas definidos pelo fabricante. Essas credenciais precisam ser substituídas antes da entrada em operação.

Da mesma forma, senhas compartilhadas entre vários empregados ou empresas contratadas devem ser evitadas.

5. Atualizar equipamentos de forma controlada

Sistemas operacionais, programas e dispositivos precisam receber atualizações de segurança. Entretanto, como a automação controla processos físicos, as mudanças devem ser testadas antes da implantação.

Um procedimento formal reduz tanto os riscos de ataques quanto os riscos de uma atualização provocar falhas operacionais.

6. Monitorar comportamentos anormais

A companhia deve registrar tentativas de acesso, mudanças de configuração, falhas de autenticação e comunicações incomuns.

O monitoramento permite identificar um ataque antes que ele provoque consequências maiores.

7. Manter cópias de segurança protegidas

As configurações dos controladores, dos supervisórios e dos servidores precisam possuir cópias de segurança atualizadas.

Além disso, uma parte dos backups deve permanecer isolada da rede. Caso contrário, o invasor poderá comprometer simultaneamente o sistema principal e as cópias.

8. Criar e testar um plano de resposta

A prestadora precisa definir quem toma decisões, quem isola equipamentos, quem comunica o incidente, quem aciona as autoridades e como a operação será mantida.

A EPA recomenda que os sistemas de água incorporem as etapas de preparação, resposta e recuperação aos planos de emergência. A orientação também inclui checklists e modelos específicos para incidentes cibernéticos. (US EPA⁠)

O papel dos fornecedores e das empresas contratadas

A proteção não depende somente da equipe interna. Integradores, fabricantes, empresas de manutenção, prestadores de telecomunicações e consultorias também podem acessar os sistemas.

Por isso, os contratos devem estabelecer requisitos claros de segurança. Devem ser definidos, por exemplo:

período autorizado para acesso remoto;
identificação individual dos técnicos;
utilização de autenticação multifator;
proibição de contas compartilhadas;
obrigação de informar vulnerabilidades;
atualização dos equipamentos fornecidos;
registro das intervenções realizadas;
prazo para comunicação de incidentes;
entrega do inventário de hardware e software;
responsabilidade pela desativação de acessos antigos.

A contratação pelo menor preço, sem requisitos mínimos de proteção, poderá gerar custos muito maiores posteriormente. Assim, a cibersegurança no saneamento também deve integrar os editais, termos de referência, especificações técnicas e processos de fiscalização contratual.

Comunicação com a população durante um incidente

Quando uma instalação de água sofre um ataque, a população precisa receber informações objetivas. A ausência de comunicação pode gerar boatos, medo e perda de confiança.

Entretanto, a companhia também deve evitar a divulgação precipitada de detalhes técnicos que possam prejudicar a investigação ou facilitar novos ataques.

A comunicação deve informar:

se o abastecimento foi afetado;
se a qualidade da água permanece segura;
quais áreas podem sofrer interrupção;
quais medidas estão sendo adotadas;
quais orientações devem ser seguidas;
quando será divulgada uma nova atualização.

No caso de Minnesota, as autoridades estaduais trabalharam junto aos sistemas atingidos e às áreas de saúde para verificar possíveis impactos sobre a população. Até a divulgação inicial, não havia orientação geral para mudança no consumo da água. (CBS News⁠)

Cibersegurança deve entrar na rotina operacional

A proteção digital não pode permanecer limitada ao departamento de tecnologia. Ela precisa ser incorporada às reuniões operacionais, análises de risco, planos de manutenção, projetos de automação e treinamentos.

Operadores devem reconhecer comportamentos incomuns nas telas e nos equipamentos. Técnicos de manutenção devem verificar conexões não autorizadas. Gestores devem garantir orçamento, responsabilidades e indicadores. Já as áreas de contratação devem cobrar requisitos de segurança dos fornecedores.

Além disso, exercícios simulados precisam ser realizados. Uma simulação pode testar o que aconteceria se o supervisório ficasse indisponível, se uma estação elevatória perdesse comunicação ou se um acesso remoto fosse identificado fora do horário permitido.

Ao mesmo tempo, a companhia deve preservar registros para investigação. Logs de acesso, históricos de alarmes e alterações de configuração ajudam a compreender o incidente e corrigir vulnerabilidades.

Portanto, a cibersegurança no saneamento deve ser considerada uma responsabilidade compartilhada entre tecnologia, operação, engenharia, manutenção, segurança empresarial, comunicação e alta administração.

O que o caso representa para o saneamento brasileiro

O episódio ocorrido nos Estados Unidos serve como advertência para companhias estaduais, autarquias municipais, serviços autônomos, concessionárias privadas e operadores de parcerias público-privadas no Brasil.

O setor brasileiro avança na digitalização por meio de telemetria, centros de controle operacional, medidores inteligentes, sensores, inteligência artificial e manutenção remota. Essas soluções aumentam a eficiência, reduzem perdas e melhoram a tomada de decisão.

Entretanto, cada novo equipamento conectado amplia a superfície que precisa ser protegida.

Por isso, os projetos de transformação digital devem incorporar a segurança desde a fase de planejamento. A proteção não deve ser adicionada somente depois que a automação já estiver implantada.

Também se torna necessário avaliar sistemas antigos. Muitos equipamentos industriais foram projetados para operar por décadas, em um período no qual a conectividade não era considerada uma ameaça relevante. Consequentemente, dispositivos ainda funcionais podem não possuir recursos modernos de autenticação, registro ou criptografia.

Nesses casos, medidas compensatórias devem ser aplicadas, como isolamento de rede, controle de acesso, monitoramento e substituição planejada.

Resiliência operacional passou a incluir segurança digital

A continuidade do abastecimento sempre dependeu de energia, manutenção, estoque de produtos químicos, disponibilidade de equipes e redundância dos equipamentos.

Agora, a segurança digital integra esse mesmo conjunto de prioridades.

O ataque em Minnesota demonstrou que um código malicioso, uma credencial comprometida ou um acesso remoto desprotegido pode interromper uma instalação física. Ao mesmo tempo, a rápida recuperação de Braham mostrou a importância de possuir equipes preparadas e alternativas operacionais.

Assim, a cibersegurança no saneamento não representa apenas uma obrigação tecnológica. Ela está diretamente relacionada à segurança hídrica, à saúde pública, à confiança dos usuários e à capacidade de prestar um serviço essencial.

A digitalização seguirá avançando. No entanto, quanto maior for a automação, maior deverá ser a maturidade de proteção, monitoramento e resposta das prestadoras.