Um Déjà Vu Perigoso: As Falhas de Segurança que a CISA Desenterrou

Parece uma cena de abertura de um filme de ação dos anos 2000, mas é a realidade de 2025. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA), em colaboração com a Guarda Costeira americana (USCG), divulgou um relatório que soa mais como uma bronca pública do que um simples alerta técnico. Após uma auditoria em uma organização de infraestrutura crítica não identificada, os especialistas encontraram um verdadeiro museu de práticas de segurança obsoletas. Felizmente, segundo o relatório, nenhum ator malicioso parece ter explorado essas brechas, mas a auditoria serve como um lembrete sombrio de que a fundação de nossos sistemas mais vitais pode ser perigosamente frágil.

De Volta para o Passado da Cibersegurança

O achado mais alarmante, e quase cômico se não fosse tão perigoso, foi o armazenamento de credenciais de administrador em texto puro. Sim, você leu certo. Em pleno 2025, senhas que dão acesso privilegiado a sistemas estavam salvas em arquivos de script de lote, visíveis para qualquer um que soubesse onde procurar. A CISA detalha que esses scripts, usados para criar contas de administrador, continham comandos como net user /add seguidos por nomes de usuário e senhas em texto simples. Para piorar, essas senhas não eram únicas e não expiravam, uma receita pronta para o desastre.

De acordo com a agência, “o armazenamento de credenciais de administrador local em scripts de texto puro em vários hosts aumenta o risco de acesso não autorizado generalizado, e o uso de senhas não exclusivas facilita o movimento lateral pela rede”. Em outras palavras, um invasor que conseguisse acesso a uma única estação de trabalho poderia facilmente encontrar essas senhas e passear livremente pela rede, instalando software malicioso, desativando defesas e criando novas contas para garantir sua permanência. É o tipo de erro básico que esperamos ver em tutoriais para iniciantes, não na espinha dorsal da infraestrutura de uma nação.

Quando o Digital Ameaça o Físico: A Fronteira OT/IT

A coisa fica ainda mais séria quando olhamos para a conexão entre o mundo digital e o físico. O relatório da CISA destacou uma segmentação de rede insuficiente entre os ambientes de Tecnologia da Informação (TI) e Tecnologia Operacional (OT). Na prática, isso significa que contas de usuário padrão tinham acesso à VLAN dos sistemas SCADA (Supervisory Control and Data Acquisition). Para quem não está familiarizado, sistemas SCADA são o cérebro que controla o corpo da infraestrutura física: eles monitoram e operam equipamentos como sensores, válvulas, sistemas de pressão e temperatura em instalações industriais.

Um acesso não autorizado a esses sistemas transcende o roubo de dados. Ele abre a porta para a sabotagem física. Como a própria CISA adverte, “comprometimentos desses sistemas podem ter consequências no mundo real, incluindo riscos à segurança do pessoal, à integridade da infraestrutura e à funcionalidade dos equipamentos”. Os auditores também encontraram problemas nos sistemas de HVAC (aquecimento, ventilação e ar condicionado), controlados por bastiões de segurança mal configurados. Controlar a temperatura ou a pressão de uma instalação crítica remotamente é o tipo de poder que não queremos nas mãos erradas.

Cenário de Filme Catástrofe

A situação evoca imediatamente o enredo de filmes como “Duro de Matar 4.0”, onde terroristas cibernéticos causam o caos ao assumir o controle da infraestrutura nacional. A diferença é que, no relatório da CISA, os vilões não precisariam de exploits complexos ou inteligência artificial avançada; bastaria encontrar um arquivo de texto mal guardado. Para completar o cenário de pesadelo, a organização auditada possuía registros (logs) de atividades insuficientes em suas estações de trabalho. Isso significa que, se um ataque tivesse ocorrido, investigá-lo seria como tentar solucionar um crime sem testemunhas ou câmeras de segurança, tornando a detecção e a resposta a ameaças um desafio hercúleo.

O Alicerce Frágil do Amanhã

Este relatório da CISA é mais do que um caso isolado; é um sintoma. Enquanto sonhamos com cidades inteligentes, portos autônomos e redes elétricas gerenciadas por IA, a realidade em campo mostra que ainda tropeçamos nos fundamentos. A segurança cibernética de infraestruturas críticas, seja nos EUA, no Brasil ou em qualquer lugar do mundo, não pode se dar ao luxo de cometer erros tão primários. O futuro hiperconectado que estamos construindo exige uma base robusta e segura. Se senhas em texto puro são o alicerce, estamos construindo nosso castelo tecnológico sobre a areia. A advertência da CISA não é apenas sobre corrigir falhas do passado, mas sobre garantir que tenhamos um futuro seguro para conectar.