30 sistemas de água atingidos em 7 estados; EUA apontam para o Irã

O Minnesota IT Services afirmou que o estado “ativou imediatamente a resposta do estado a incidentes de cibersegurança” após detectar a onda de ataques.⁠8 O que veio em seguida transformou uma emergência em Minnesota em um alerta nacional: o FBI e a EPA alertaram serviços públicos de todo o país após serem relatados ataques em pelo menos sete estados.⁠3⁠8⁠10 Michigan logo se juntou a Minnesota ao relatar ataques a sistemas de abastecimento de água, confirmando que o Meio-Oeste não era um caso isolado.⁠11

A escala é o que diferencia esse caso do fluxo habitual de ataques de ransomware e invasões. Sete estados significam sete grupos diferentes de operadores, fornecedores e responsáveis pela gestão de emergências, todos fazendo de repente a mesma pergunta: como os invasores entraram em sistemas que deveriam ser isolados da internet, monitorados e, por definição, sem atrativos para atacantes?⁠3 Os investigadores federais ainda não publicaram uma lista completa de vítimas nem uma avaliação dos danos, mas o quadro inicial é de uma ofensiva ampla e oportunista contra uma das partes mais vulneráveis da infraestrutura crítica americana.⁠10

A atribuição veio rapidamente e apontou para o outro lado do oceano. Agências de espionagem dos EUA avaliaram que Teerã provavelmente estava por trás do ataque coordenado contra mais de 30 sistemas em Minnesota.⁠4 Os EUA estão investigando se o Irã esteve por trás de ciberataques contra sistemas de abastecimento de água em sete estados, incluindo Minnesota e Michigan.⁠2 Autoridades federais “agora, segundo relatos, acreditam que o Irã é o provável responsável” pela onda mais ampla.⁠10 Se essa avaliação se confirmar, isso significaria que uma potência estrangeira sondou ou puniu em grande escala a infraestrutura civil americana — não com mísseis, mas com código.

Mas o quadro de inteligência é menos sólido do que a manchete sugere, e é preciso dizê-lo com franqueza. Um memorando da CISA dirigido ao setor de abastecimento de água mencionou o Irã, mas “não apresenta diretamente evidências que atribuam o mais recente incidente em Minnesota ao país”.⁠5 Essa distância entre a suspeita das agências de espionagem e as evidências públicas é normal em investigações cibernéticas, nas quais é preciso analisar registros, amostras de malware e infraestrutura. Também é perigosa, pois operadores, governadores e o público são orientados a se defender de um adversário identificado sem que lhes expliquem por que esse nome foi escolhido.⁠5

O que está mais claro é como os hackers conseguiram entrar. A CBS noticiou preocupações com falhas de segurança e disse que os hackers exploraram um computador industrial vulnerável.⁠9 A Reuters informou que a CISA alertou para o aumento dos ataques de hackers a serviços de abastecimento de água.⁠6 A CISA pediu aos serviços de abastecimento de água que desconectassem da internet os sistemas expostos após os ataques em Minnesota.⁠5 Em outras palavras: sistemas de controle demais, que gerenciam pressão, produtos químicos e fluxo, ainda podem ser acessados pela internet, muitas vezes por meio de ferramentas de acesso remoto instaladas por conveniência e nunca protegidas. Para uma cidade pequena com um único operador em meio período, desconectar um sistema não é uma solução técnica. Significa ir até a estação e operá-la manualmente.

Essa é a verdade pouco glamorosa por trás da expressão infraestrutura crítica. O setor de abastecimento de água dos Estados Unidos não é composto por um punhado de grandes empresas de serviços públicos bem protegidas. São cerca de 150,000 sistemas públicos, muitos deles atendendo a alguns milhares de pessoas, operando com orçamentos apertados e controladores industriais antigos. A CBS resumiu o que está em jogo em uma frase de sua reportagem sobre as falhas: “Ninguém protegendo esses sistemas.”⁠9 Quando esses sistemas ficam expostos, um invasor não precisa de uma vulnerabilidade de dia zero para causar medo. Basta entrar, exibir uma tela adulterada ou ligar e desligar uma bomba para forçar uma paralisação e abalar a confiança.

A CISA, a agência que agora orienta essas cidades a desconectar seus sistemas da internet, também está sob pressão. A CISA está reduzindo os salários de seus especialistas. Em uma mensagem aos funcionários, o diretor interino Nick Andersen escreveu: “Sabemos que essas mudanças podem causar dificuldades financeiras para algumas pessoas”, semanas depois de o Departamento de Segurança Interna (DHS) ter informado ao Congresso que a agência precisa de mais 600 pessoas.⁠7 Esse contraste — menos recompensas para quem defende e mais trabalho a fazer — está documentado nas fontes e enfraquece qualquer alegação de que as defesas cibernéticas estão sendo reforçadas para enfrentar a situação.⁠7 O que as fontes não sustentam plenamente é uma alegação mais ampla de cortes orçamentários legislados no DHS e na CISA; o que elas mostram são reduções salariais e um déficit de pessoal apresentado ao Congresso.⁠7

Até agora, a reação política tem sido desviar o foco, não apresentar um plano. Questionado sobre o ataque em uma reunião ministerial televisionada em Camp David, o presidente Trump “culpou um governador democrata”.⁠7 Essa resposta está registrada e mostra o lugar que a história ocupa em Washington: um suspeito ataque estrangeiro a serviços civis é respondido primeiro com um argumento partidário, não com uma atualização operacional sobre o que foi atingido, o que continua exposto ou o que as cidades devem fazer na manhã de segunda-feira.⁠7

Quem acompanhou nossa transmissão terá ouvido duas alegações mais amplas, apresentadas como complemento a esse núcleo confirmado: que um membro do Comitê de Inteligência da Câmara disse que o comitê não havia sido informado sobre uma violação de segurança em um serviço de abastecimento de água, e que a Rússia havia causado recentemente bilhões em prejuízos em um ciberataque contra o setor privado no Reino Unido. Não é possível verificar essas alegações com base no material de apuração fornecido para este artigo. Nenhuma das fontes da web nesse material menciona se o Comitê de Inteligência da Câmara foi informado, uma declaração do deputado Raja Krishnamoorthi ou um ataque russo contra a indústria britânica. Isso não significa que essas declarações não tenham sido feitas em outro lugar. Significa que as evidências disponíveis comprovam os ataques a sistemas de abastecimento de água e a vulnerabilidade relatada pela CISA, mas não comprovam nada sobre a disputa em torno do briefing nem sobre a comparação com o Reino Unido.

Essa distinção importa porque, após qualquer operação suspeita do Irã, há a tentação de conectar todos os alertas em uma única narrativa de guerra e negligência. Os fatos de que dispomos já são graves o bastante, sem exageros. Um adversário estrangeiro provavelmente testou os controles do abastecimento de água potável dos Estados Unidos em diferentes estados. Os responsáveis por corrigir o problema estão tendo seus salários reduzidos e, ao mesmo tempo, são informados de que faltam 600 pessoas na equipe. E a explicação pública vinda do alto escalão foi uma acusação dirigida a um governador.⁠4⁠7⁠10 Não é preciso haver um drama em torno de um briefing ou uma analogia com outro país para perceber a vulnerabilidade.