Hackers ligados ao Irã estão comprometendo controladores lógicos programáveis expostos à internet nos Estados Unidos e alterando mecanismos responsáveis por alarmes e desligamentos de segurança, um problema que afeta organizações governamentais e operadores dos setores de água, saneamento e energia desde pelo menos março de 2026 e já causou interrupções operacionais além de perdas financeiras em algumas vítimas.

O que são PLCs e por que eles sustentam operações críticas invisíveis

Os PLCs, ou Programmable Logic Controllers na sigla em inglês, funcionam como o cérebro automatizado que controla processos industriais em tempo real, executando lógicas de escada para manter máquinas operando dentro de parâmetros seguros em usinas de energia, estações de tratamento de água e instalações governamentais, e esses dispositivos fabricados por empresas como Rockwell Automation com modelos CompactLogix e Micro850, Schneider Electric com BMX P34 e Modicon M340, além de Siemens com a série S7-1200, têm sido o alvo principal dessa campanha porque muitos permanecem conectados diretamente à internet sem proteções adequadas.

Esses equipamentos fazem parte de uma infraestrutura de tecnologia operacional, ou OT, que difere da tecnologia da informação comum por priorizar disponibilidade contínua e resposta em tempo real, e quando expostos, permitem que invasores usem softwares legítimos de programação dos fabricantes para baixar projetos, modificar a lógica de controle e reenviar os arquivos adulterados, mantendo parte do processo funcionando enquanto adicionam instruções que ultrapassam limites operacionais seguros, como visto em um incidente relatado pelas autoridades.

Como o acesso remoto e credenciais fracas abrem as portas para os ataques

Os invasores buscam equipamentos com acesso remoto inseguro, credenciais fracas ou configurações padrão, acessando os ambientes por meio de infraestrutura alugada no exterior e utilizando os próprios softwares de programação industrial dos fabricantes para conectar-se aos PLCs mal configurados, com tráfego de entrada observado nas portas 44818, 2222, 102 e 502, o que torna a exploração possível sem precisar de vulnerabilidades zero-day inéditas.

Essa abordagem lembra campanhas anteriores associadas ao grupo CyberAv3ngers, ligado à Guarda Revolucionária do Irã, que desde novembro de 2023 comprometeu pelo menos 75 dispositivos Unitronics, e agora evoluiu para atingir marcas como Rockwell, Schneider e Siemens em uma operação que a CISA, FBI e parceiros documentaram no advisory AA26-097A publicado originalmente em 7 de abril de 2026 e atualizado em 22 de julho de 2026, expandindo orientações para detectar alterações maliciosas em módulos de código reutilizáveis em programas de PLCs Rockwell.

Os riscos reais quando alarmes e limites de segurança são desativados

Em um dos incidentes, o projeto malicioso manteve parte do processo funcionando mas adicionou instruções capazes de ultrapassar limites operacionais seguros, e também foram alterados dados apresentados em interfaces HMI, ou Human-Machine Interface, e sistemas SCADA, ou Supervisory Control and Data Acquisition, que são as telas de supervisão usadas por operadores para monitorar tudo em tempo real, o que pode levar a decisões erradas baseadas em informações falsas e a falhas físicas em equipamentos.

Esses sistemas legados, que processam milhões de operações diárias em setores essenciais, tornam-se perigosos quando a lógica de segurança é manipulada, pois um PLC que deveria desligar uma bomba ao atingir pressão máxima pode continuar rodando, gerando riscos de danos materiais, paradas prolongadas e prejuízos financeiros, exatamente como alertam as agências americanas ao expandir o escopo para outras marcas além da Rockwell após observarem padrões semelhantes em varreduras que identificaram mais de 5.600 endereços IP globais com dispositivos Allen-Bradley expostos.

Por que a segmentação de redes e o monitoramento contínuo são essenciais agora

A atividade identificada desde março de 2026 usa técnicas que não dependem de falhas novas nos equipamentos, mas exploram a exposição direta à internet e a falta de separação entre redes corporativas e industriais, permitindo que atores com recursos estatais aluguem servidores no exterior para se conectar e modificar projetos sem deixar rastros óbvios nos logs convencionais de TI.

As orientações atualizadas da CISA e parceiros enfatizam a necessidade de revisar projetos de PLCs em busca de alterações em módulos reutilizáveis, monitorar conexões nas portas específicas e evitar o uso de credenciais padrão ou senhas fracas, pois uma vez que o arquivo adulterado é carregado de volta ao controlador, ele pode persistir e afetar a operação sem que o operador perceba imediatamente as mudanças na lógica de segurança.

Caixa de Ferramentas: Passos práticos para blindar seus sistemas industriais

Primeiro, realize uma varredura completa de sua rede OT para identificar PLCs expostos à internet e desconecte imediatamente qualquer acesso remoto desnecessário, usando firewalls ou VPNs seguras apenas quando indispensável, pois isso elimina o principal vetor usado pelos invasores que buscam configurações padrão em equipamentos Rockwell, Schneider e Siemens. Segundo, implemente segmentação rigorosa entre redes de TI corporativas e OT industrial, criando zonas isoladas com controle de acesso baseado em listas brancas para que apenas estações autorizadas possam programar os PLCs, reduzindo drasticamente a superfície de ataque observada na campanha que já afetou setores de água e energia. Terceiro, adote o hábito de revisar periodicamente os projetos de PLCs com ferramentas de detecção de alterações em código reutilizável, conforme as novas orientações da CISA no advisory AA26-097A, e ative alertas para modificações não autorizadas em arquivos enviados via softwares legítimos dos fabricantes. Quarto, fortaleça credenciais com senhas complexas e autenticação multifator onde possível, além de monitorar tráfego nas portas 44818, 2222, 102 e 502 para identificar conexões suspeitas de infraestrutura estrangeira, empoderando sua equipe a agir antes que um projeto malicioso desative alarmes críticos em sua operação.