30 sistemas de água atingidos em 7 estados; EUA apontam para o Irã

Trinta instalações de abastecimento de água em dois dias. Esse é o número que importa — e deveria deixar você em alerta. Só em Minnesota, pelo menos 30 sistemas municipais de abastecimento de água foram alvos em 26 e 27 de julho de 2026, em uma operação coordenada que levou o estado a acionar toda a sua resposta de emergência. ⁸ Não se tratou de uma única estação com uma senha fraca ou de um operador isolado que clicou em um link. Foram dezenas de pequenos sistemas públicos — as bombas e os controles de tratamento que mantêm a água correndo nas torneiras de cidades que raramente aparecem no noticiário nacional — atingidos de uma só vez. ⁸

O Minnesota IT Services afirmou que o estado “ativou imediatamente a resposta do estado a incidentes de cibersegurança” após detectar a onda de ataques. ⁸ O que veio em seguida transformou uma emergência em Minnesota em um alerta nacional: o FBI e a EPA alertaram serviços públicos de todo o país após serem relatados ataques em pelo menos sete estados. ^{3 8 10} Michigan logo se juntou a Minnesota ao relatar ataques a sistemas de abastecimento de água, confirmando que o Meio-Oeste não era um caso isolado. ¹¹

A escala é o que diferencia esse caso do fluxo habitual de ataques de ransomware e invasões. Sete estados significam sete grupos diferentes de operadores, fornecedores e responsáveis pela gestão de emergências, todos fazendo de repente a mesma pergunta: como os invasores entraram em sistemas que deveriam ser isolados da internet, monitorados e, por definição, sem atrativos para atacantes? ³ Os investigadores federais ainda não publicaram uma lista completa de vítimas nem uma avaliação dos danos, mas o quadro inicial é de uma ofensiva ampla e oportunista contra uma das partes mais vulneráveis da infraestrutura crítica americana. ¹⁰

A atribuição veio rapidamente e apontou para o outro lado do oceano. Agências de espionagem dos EUA avaliaram que Teerã provavelmente estava por trás do ataque coordenado contra mais de 30 sistemas em Minnesota. ⁴ Os EUA estão investigando se o Irã esteve por trás de ciberataques contra sistemas de abastecimento de água em sete estados, incluindo Minnesota e Michigan. ² Autoridades federais “agora, segundo relatos, acreditam que o Irã é o provável responsável” pela onda mais ampla. ¹⁰ Se essa avaliação se confirmar, isso significaria que uma potência estrangeira sondou ou puniu em grande escala a infraestrutura civil americana — não com mísseis, mas com código.

Mas o quadro de inteligência é menos sólido do que a manchete sugere, e é preciso dizê-lo com franqueza. Um memorando da CISA dirigido ao setor de abastecimento de água mencionou o Irã, mas “não apresenta diretamente evidências que atribuam o mais recente incidente em Minnesota ao país”. ⁵ Essa distância entre a suspeita das agências de espionagem e as evidências públicas é normal em investigações cibernéticas, nas quais é preciso analisar registros, amostras de malware e infraestrutura. Também é perigosa, pois operadores, governadores e o público são orientados a se defender de um adversário identificado sem que lhes expliquem por que esse nome foi escolhido. ⁵

O que está mais claro é como os hackers conseguiram entrar. A CBS noticiou preocupações com falhas de segurança e disse que os hackers exploraram um computador industrial vulnerável. ⁹ A Reuters informou que a CISA alertou para o aumento dos ataques de hackers a serviços de abastecimento de água. ⁶ A CISA pediu aos serviços de abastecimento de água que desconectassem da internet os sistemas expostos após os ataques em Minnesota. ⁵ Em outras palavras: sistemas de controle demais, que gerenciam pressão, produtos químicos e fluxo, ainda podem ser acessados pela internet, muitas vezes por meio de ferramentas de acesso remoto instaladas por conveniência e nunca protegidas. Para uma cidade pequena com um único operador em meio período, desconectar um sistema não é uma solução técnica. Significa ir até a estação e operá-la manualmente.

Essa é a verdade pouco glamorosa por trás da expressão infraestrutura crítica. O setor de abastecimento de água dos Estados Unidos não é composto por um punhado de grandes empresas de serviços públicos bem protegidas. São cerca de 150,000 sistemas públicos, muitos deles atendendo a alguns milhares de pessoas, operando com orçamentos apertados e controladores industriais antigos. A CBS resumiu o que está em jogo em uma frase de sua reportagem sobre as falhas: “Ninguém protegendo esses sistemas.” ⁹ Quando esses sistemas ficam expostos, um invasor não precisa de uma vulnerabilidade de dia zero para causar medo. Basta entrar, exibir uma tela adulterada ou ligar e desligar uma bomba para forçar uma paralisação e abalar a confiança.

A CISA, a agência que agora orienta essas cidades a desconectar seus sistemas da internet, também está sob pressão. A CISA está reduzindo os salários de seus especialistas. Em uma mensagem aos funcionários, o diretor interino Nick Andersen escreveu: “Sabemos que essas mudanças podem causar dificuldades financeiras para algumas pessoas”, semanas depois de o Departamento de Segurança Interna (DHS) ter informado ao Congresso que a agência precisa de mais 600 pessoas. ⁷ Esse contraste — menos recompensas para quem defende e mais trabalho a fazer — está documentado nas fontes e enfraquece qualquer alegação de que as defesas cibernéticas estão sendo reforçadas para enfrentar a situação. ⁷ O que as fontes não sustentam plenamente é uma alegação mais ampla de cortes orçamentários legislados no DHS e na CISA; o que elas mostram são reduções salariais e um déficit de pessoal apresentado ao Congresso. ⁷

Até agora, a reação política tem sido desviar o foco, não apresentar um plano. Questionado sobre o ataque em uma reunião ministerial televisionada em Camp David, o presidente Trump “culpou um governador democrata”. ⁷ Essa resposta está registrada e mostra o lugar que a história ocupa em Washington: um suspeito ataque estrangeiro a serviços civis é respondido primeiro com um argumento partidário, não com uma atualização operacional sobre o que foi atingido, o que continua exposto ou o que as cidades devem fazer na manhã de segunda-feira. ⁷

Quem acompanhou nossa transmissão terá ouvido duas alegações mais amplas, apresentadas como complemento a esse núcleo confirmado: que um membro do Comitê de Inteligência da Câmara disse que o comitê não havia sido informado sobre uma violação de segurança em um serviço de abastecimento de água, e que a Rússia havia causado recentemente bilhões em prejuízos em um ciberataque contra o setor privado no Reino Unido. Não é possível verificar essas alegações com base no material de apuração fornecido para este artigo. Nenhuma das fontes da web nesse material menciona se o Comitê de Inteligência da Câmara foi informado, uma declaração do deputado Raja Krishnamoorthi ou um ataque russo contra a indústria britânica. Isso não significa que essas declarações não tenham sido feitas em outro lugar. Significa que as evidências disponíveis comprovam os ataques a sistemas de abastecimento de água e a vulnerabilidade relatada pela CISA, mas não comprovam nada sobre a disputa em torno do briefing nem sobre a comparação com o Reino Unido.

Essa distinção importa porque, após qualquer operação suspeita do Irã, há a tentação de conectar todos os alertas em uma única narrativa de guerra e negligência. Os fatos de que dispomos já são graves o bastante, sem exageros. Um adversário estrangeiro provavelmente testou os controles do abastecimento de água potável dos Estados Unidos em diferentes estados. Os responsáveis por corrigir o problema estão tendo seus salários reduzidos e, ao mesmo tempo, são informados de que faltam 600 pessoas na equipe. E a explicação pública vinda do alto escalão foi uma acusação dirigida a um governador. ^{4 7 10} Não é preciso haver um drama em torno de um briefing ou uma analogia com outro país para perceber a vulnerabilidade.