OT de saneamento do Minnesota atacada em 30 cidades — autoria ainda não confirmada

O incidente do Minnesota é o maior ataque coordenado a OT de infraestrutura hídrica de um único estado americano em registro público. A MNIT confirmou — em comunicado oficial de 28 de julho — que mais de 30 sistemas de água comunitários foram atingidos em 26 e 27 de julho, com ativação imediata da resposta estadual de incidente e envolvimento do FBI, CISA e EPA. O impacto foi à tecnologia operacional: PLCs, RTUs e sistemas de controle automatizado que governam bombas, válvulas e estações de tratamento. Em Braham, a planta de tratamento ficou offline por cerca de duas horas antes de ser restaurada manualmente. Plymouth desligou equipamentos conectados via celular em duas torres e múltiplas estações elevatórias. Maple Plain declarou estado de emergência local. South St. Paul operou em modo manual. Em todos os casos confirmados, a qualidade da água não foi afetada e nenhum advisory de fervura foi emitido.

A narrativa de atribuição iraniana circula amplamente, mas é preciso decompô-la em dois planos distintos. No nível da campanha: existe documentação robusta (advisory AA26-097A, classificado A1) de que atores iraniano-afiliados ligados ao IRGC-CEC — rastreados como CyberAv3ngers, Storm-0784, Bauxite, UNC5691 — estão ativamente explorando CVE-2021-22681 em PLCs Rockwell Logix de infraestrutura crítica dos EUA desde março de 2026, tendo expandido o escopo para Schneider Electric e Siemens em julho. No nível do incidente: nenhuma agência federal atribuiu publicamente o ataque do Minnesota a esses atores até 29 de julho. A MNIT usou linguagem deliberadamente cuidadosa — 'características comuns' entre os alvos, sem nomear técnica, fabricante ou ator. TJ Sayers, do Center for Internet Security, confirmou explicitamente que a atribuição 'não foi feita' e que é 'incerto' se os PLCs citados no advisory foram o vetor em Minnesota. A Tenable — única organização que fez uma avaliação pública de associação — declarou confiança baixa a moderada, classificando a conexão como hipótese a ser testada por forensics, não atribuição confirmada.

O vetor técnico mais plausível, dado o padrão da campanha AA26-097A, é CVE-2021-22681: bypass arquitetural de autenticação nos PLCs Rockwell Logix, CVSS 9.8, sem patch disponível ou previsto — a correção exigiria redesenho completo do sistema de autenticação, incompatível com os milhares de dispositivos já implantados. O acesso seria via celular: Plymouth descreveu explicitamente falhas em 'equipamentos conectados via celular', e a Tenable identificou que uma parcela desproporcional dos dispositivos Rockwell/Allen-Bradley expostos opera em redes de operadoras celulares, consistente com PLCs de campo em torres d'água e estações remotas. Mas — ponto crítico — Minnesota não confirmou publicamente qual fabricante, família de PLC ou vulnerabilidade foi explorada nos ataques.

Um detalhe que a cobertura dominante não questiona: a amplitude de 30+ alvos em dois dias. Há duas hipóteses técnicas para isso. Primeira: os atacantes identificaram uma condição explorável comum (mesmo hardware, mesma configuração, mesmo operador de celular) que permitiu escalar o ataque sem reconhecimento individual de cada alvo. Segunda: realizaram reconhecimento prévio de cada sistema separadamente e coordenaram a execução. A segunda hipótese implica recursos e tempo de preparação substanciais; a primeira é mais consistente com o que se conhece do playbook CyberAv3ngers contra pequenas concessionárias. A investigação federal deverá determinar qual se aplica — e essa distinção importa para o modelo de ameaça.

O que a crise revelou sobre a postura do setor é estrutural, não episódico. A EPA advertiu em 2024 que mais de 70% dos sistemas hídricos dos EUA não cumpriam a lei de 2018 que exige planos de avaliação de risco e resposta a emergências. Um audit de 1.000 sistemas abrangendo 193 milhões de pessoas encontrou 97 com vulnerabilidades críticas ou de alto risco. Os EUA têm entre 150.000 e 170.000 sistemas de água, muitos pequenos, rurais e sem equipe de segurança dedicada. O ataque ao Minnesota foi bem-sucedido precisamente porque encontrou essa população: pequenas municipalidades gerenciando OT com software de acesso remoto de consumidor (TeamViewer, AnyDesk) ou com PLCs diretamente expostos à internet. A resiliência que conteve o dano — planos de contingência, operação manual — não é garantida em todos os 30+ alvos, e certamente não o é nas centenas de concessionárias similares nos demais estados.

Para o Brasil, o paralelo é direto e subestimado. O setor de saneamento brasileiro está em processo de universalização acelerada pelo Marco Legal do Saneamento (Lei 14.026/2020), com concessões para operadores privados que estão modernizando e conectando infraestrutura de OT historicamente air-gapped. Essa modernização, sem paralelismo em maturidade de segurança, replica exatamente o vetor explorado no Minnesota: equipamentos OT novos ou recondicionados, conectados via celular, administrados por equipes sem expertise em ICS security. A ANA (Agência Nacional de Águas) e a ANEEL não têm, até o momento, frameworks regulatórios específicos para OT de saneamento comparáveis ao AWIA americano de 2018 — e o caso do Minnesota demonstra que mesmo aquele framework foi insuficiente.

Pelo menos quatro municípios confirmaram impacto operacional direto a OT: Braham (planta offline por ~2h), Plymouth (comunicação celular cortada em 2 torres e múltiplas estações elevatórias), South St. Paul (controles automatizados afetados) e Maple Plain (controles automatizados afetados, estado de emergência local declarado). Em todos os casos confirmados, a qualidade da água não foi comprometida e o serviço foi mantido via operação manual. Nenhum advisory de fervura foi emitido por nenhuma municipalidade. A MNIT confirmou que o número total de sistemas atingidos supera 30, mas não divulgou a lista completa nem o grau de impacto por sistema. A investigação permanecia ativa em 29 de julho, com avaliação em curso de quantos sistemas sofreram disrupção operacional efetiva versus apenas tentativa de acesso. O impacto de reputação e político é imediato: o prefeito de Braham declarou que o ataque deve ser um 'alerta para legisladores estaduais', sinalizando pressão por financiamento federal para segurança de infraestrutura hídrica em pequenos municípios.