A agência Minnesota IT Services (MNIT) ativou sua capacidade de resposta a incidentes de cibersegurança em todo o estado depois que hackers miraram mais de 30 sistemas comunitários de água em um cyberattack coordenado nos dias 26 e 27 de julho, com alvo em sistemas de tecnologia operacional, ou OT, de concessionárias locais.
As cidades de Braham, Plymouth, South St. Paul e Maple Plain informaram publicamente sobre paralisação de planta, falhas de comunicação ou impacto em controles automatizados. Em Braham, a estação de tratamento de água ficou offline por um motivo inicialmente desconhecido. “As equipes estão trabalhando ativamente para identificar o problema e restabelecer os serviços o mais rápido possível”, disse a prefeitura em uma mensagem enviada aos moradores. Cerca de três horas depois, a cidade atualizou a situação e informou que a estação já havia voltado ao normal, filtrando e tratando a água como esperado, e que os moradores podiam retomar o uso habitual. “As equipes identificaram que a interrupção na estação de tratamento foi resultado de um cyberattack malicioso contra sistemas operacionais informatizados, realizado por autores desconhecidos”, disseram autoridades municipais.
Plymouth relatou problemas de comunicação por celular em duas torres de água e em várias estações elevatórias de esgoto, mas seguiu operando manualmente. South St. Paul e Maple Plain mantiveram os serviços após os controles automatizados da concessionária serem afetados, e Maple Plain declarou estado de emergência local para apoiar a resposta. Segundo a imprensa local, outras comunidades também relataram falhas temporárias em equipamentos desde domingo e passaram a operar manualmente ou a adotar planos de contingência para manter os serviços em funcionamento.
A MNIT informou em 28 de julho que não tinha conhecimento de qualquer pedido ativo para que moradores mudassem o uso da água potável. O órgão também disse não ter conhecimento de pedidos feitos por cidades de Minnesota para que moradores mudem o uso da água potável.
As autoridades ainda não identificaram publicamente o autor do ataque, o método inicial de acesso, os produtos afetados, a vulnerabilidade explorada ou se houve roubo de dados. O número divulgado em todo o estado considera os sistemas visados, e não os sistemas confirmados como comprometidos ou interrompidos. As autoridades não informaram quantos sofreram acesso não autorizado ou efeitos operacionais.
As autoridades de Minnesota também não explicaram publicamente quais evidências levaram a MNIT a descrever o ataque como coordenado, nem se um único ator ou um único método de acesso estava ligado aos sistemas afetados.
A MNIT disse que está coordenando contenção, investigação, recuperação e compartilhamento de inteligência de ameaças com agências estaduais, a Cybersecurity and Infrastructure Security Agency (CISA), a Environmental Protection Agency, o Federal Bureau of Investigation e as concessionárias afetadas. A agência afirmou ainda que está trabalhando com parceiros federais, estaduais, locais, tribais e do setor privado para investigar o incidente e reforçar a segurança da infraestrutura crítica de Minnesota. “Enquanto as equipes de cibersegurança da MNIT avaliam os impactos cibernéticos, elas estão compartilhando inteligência de ameaças, oferecendo orientações sobre a resposta e as melhores práticas, e ajudando as concessionárias afetadas a conter, investigar e corrigir os danos causados pelo ataque”, informou o órgão.
“Ciberataques contra infraestrutura crítica exigem uma resposta coordenada de todo o governo”, afirmou John Israel, comissário-adjunto da MNIT e diretor de segurança da informação do estado de Minnesota. A MNIT informou que a resposta permitiu às agências conter o incidente e ajudar a evitar impactos mais graves em serviços essenciais.
Em outro desdobramento, quatro dias antes dos ataques em Minnesota, agências dos EUA ampliaram um alerta sobre atores afiliados ao Irã que estão mirando controladores lógicos programáveis expostos na internet e fabricados pela Rockwell Automation, Schneider Electric, Siemens e possivelmente outros fabricantes. Os investigadores dessa campanha observaram que os atacantes exfiltraram e modificaram arquivos de projeto, manipularam dados exibidos por interfaces homem-máquina e sistemas de supervisão e aquisição de dados, e desativaram a lógica de desligamento e de alarmes.
Autoridades estaduais e federais não associaram publicamente os ataques em Minnesota a essa campanha. A Tenable afirmou que o momento e o padrão operacional eram consistentes com o ecossistema de ameaça mais amplo do CyberAv3ngers, embora tenha ressaltado que o incidente não foi oficialmente atribuído.
O The Hacker News pediu à MNIT que esclarecesse a contagem de interrupções e a base para descrever a atividade como coordenada, e à Tenable que explicasse as evidências por trás de sua avaliação sobre o CyberAv3ngers.
A CISA também recomenda registrar conexões de modems celulares, restringir o acesso aos controladores apenas a sistemas autorizados e inspecionar arquivos de projeto em execução para detectar alterações não autorizadas. Os operadores devem validar os backups antes da restauração e, quando o controlador tiver uma chave física de modo, colocá-lo em modo de operação somente após validar seus arquivos de projeto.
Em orientações publicadas ontem, a Cybersecurity and Infrastructure Security Agency, CISA, recomendou que organizações de infraestrutura crítica isolem sistemas essenciais de OT para garantir a continuidade dos serviços vitais em caso de cyberattack. Intitulado “CI Fortify – Advice for isolating vital systems”, o documento foi elaborado pela CISA, pelo Australian Cyber Security Centre, da Australian Signals Directorate, pelo FBI e por parceiros internacionais.
Embora o threat actor por trás dos cyberattacks contra os sistemas de água de Minnesota ainda não tenha sido identificado, as agências do governo observam que a infraestrutura crítica costuma ser alvo de hackers patrocinados por Estados para espionagem ou para preparar ações disruptivas e destrutivas em caso de crise ou conflito.
No início deste ano, os Estados Unidos alertaram para hackers iranianos que vinham mirando controladores lógicos programáveis, ou PLCs, em organizações de infraestrutura crítica. Um alerta conjunto de várias agências norte-americanas, divulgado em abril, informou que cyber actors associados ao Irã estavam explorando dispositivos PLC da Rockwell Automation/Allen-Bradley expostos desde março.
A atividade interrompeu operações e causou perdas financeiras em vários setores, incluindo serviços e instalações governamentais, sistemas de água e esgoto e o setor de energia.
Em 29 de julho de 2026, a atualização mais recente da MNIT informou que a investigação seguia ativa e que as equipes de resposta continuavam avaliando os sistemas afetados.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...