Hackers travam sistemas de água em sete estados dos EUA — e ninguém pediu resgate

Na noite de 27 de julho de 2026, operadores de estações de tratamento de água em Minnesota descobriram que haviam perdido o controle de suas próprias máquinas. Alguém, remotamente, trocou os endereços de rede e as senhas dos equipamentos que comandam bombas, poços e caixas d’água. Três dias depois, a polícia federal americana (Federal Bureau of Investigation, FBI) e a agência ambiental dos Estados Unidos (Environmental Protection Agency, EPA) publicaram um alerta público conjunto: desde aquela data, concessionárias de água e esgoto em pelo menos sete estados haviam reportado incidentes, e parte dessa atividade degradou a operação, segundo o comunicado oficial das duas agências.

O alvo foram os controladores lógicos programáveis (Programmable Logic Controllers, PLCs) — pequenos computadores industriais que monitoram e controlam o equipamento físico das plantas. O FBI foi específico: os atacantes miraram modelos Rockwell Automation/Allen-Bradley MicroLogix 1100 e 1400 conectados diretamente à internet. Depois de entrar, trocaram IPs e senhas, tirando das concessionárias a capacidade de ver e comandar o próprio sistema.

O que faz esta história merecer atenção não é a sofisticação do ataque (foi tudo, menos sofisticado), mas um detalhe que a desloca da categoria de crime comum: ninguém pediu resgate.

O que aconteceu — e por que é diferente

A maioria dos ataques a infraestrutura civil hoje é financeira. Um grupo criminoso invade, criptografa os sistemas e cobra em criptomoeda para devolver o acesso. Aqui, não. A porta-voz do serviço de tecnologia da informação do estado de Minnesota (Minnesota IT Services, MNIT), Emily Zimmer, afirmou que os investigadores não identificaram nenhum pedido de resgate ligado ao ataque, conforme apurou a *Newsweek*. Sem motivo criminoso aparente, sobra a leitura mais desconfortável: sabotagem de infraestrutura pela sabotagem em si.

O FBI descreveu os efeitos operacionais reportados — perda de pressão e alagamento. E acrescentou um alerta técnico que é o ponto realmente sério: a queda de pressão nos canos pode permitir que água subterrânea não tratada seja sugada para dentro da tubulação. Em pelo menos uma organização, os operadores notaram que os arquivos de projeto do PLC (a “lógica ladder” que programa o comportamento do equipamento) haviam sido modificados em vários locais. Não foi só travar a máquina: foi reescrever o que ela faz.

Minnesota, o epicentro

Minnesota levou o pior. O MNIT divulgou o ataque em 28 de julho e ativou uma resposta estadual, informando que mais de 30 sistemas comunitários de água foram atingidos. Em Braham, cidade de cerca de 1.700 habitantes, os atacantes desligaram os controles operacionais e tiraram do ar a estação de tratamento e o poço; equipes restauraram tudo manualmente em algumas horas e pediram aos moradores que reduzissem o consumo, de acordo com a TechRadar. Em Plymouth, subúrbio de Minneapolis com cerca de 80 mil habitantes, o problema ficou restrito a equipamentos conectados por rede celular em duas caixas d’água e em estações elevatórias de esgoto, desconectados para conter o ataque. Maple Plain chegou a decretar estado de emergência local.

Um dado que precisa acompanhar o susto: as autoridades de Minnesota afirmaram que não há indício de que o abastecimento de água potável tenha sido comprometido. O ataque atingiu a tecnologia de controle, não a qualidade da água que sai da torneira — e, na maioria dos casos, os procedimentos de contingência seguraram a operação. O que salvou as plantas foi banal e insubstituível: gente que sabe operar uma estação de tratamento no braço, sem automação.

A trilha que leva ao Irã — e por que ela não fecha

Foi aqui que a imprensa correu à frente das agências. Um memorando vazado, distribuído ao centro de compartilhamento de informações do setor de água (Water Information Sharing and Analysis Center, WaterISAC) e obtido pela revista Wired, repassa uma avaliação do centro estadual de inteligência de Minnesota (Minnesota Fusion Center) que alinha os ataques a uma campanha de sabotagem cibernética atribuída pelas autoridades americanas a hackers ligados ao Irã. A empresa de segurança Tenable, em análise separada, apontou semelhanças táticas com o CyberAv3ngers — grupo vinculado à Guarda Revolucionária Islâmica do Irã (Islamic Revolutionary Guard Corps, IRGC), o mesmo que em 2023 invadiu o sistema de água de Aliquippa, na Pensilvânia, e trocou o painel de um controlador por uma mensagem anti-Israel.

O padrão não é novo, e o alerta também não era. Quatro dias antes da onda de invasões, a agência de cibersegurança e infraestrutura dos Estados Unidos (Cybersecurity and Infrastructure Security Agency, CISA) atualizou o comunicado AA26-097A avisando que atores ligados ao Irã estavam comprometendo PLCs expostos à internet nos setores de água, energia e governo. O aviso, na prática, foi ignorado — porque os Estados Unidos têm dezenas de milhares de sistemas de água pequenos, que atendem populações reduzidas e não têm orçamento para uma equipe de segurança. A mesma orientação que a CISA repete há anos foi repetida de novo: tire os PLCs da internet pública.

O contraditório: Trump contra a própria investigação

E então veio a reviravolta que desmonta qualquer manchete de certeza. Em 31 de julho, o presidente Donald Trump rejeitou publicamente a atribuição ao Irã. Em conversa com jornalistas em Camp David, ironizou a hipótese e jogou a culpa no estado governado pelo democrata Tim Walz:

“Ouvimos que houve um ataque cibernético em Minnesota, e culpam o Irã. Eu não acho. Eu culpo Minnesota, porque eles são grosseiramente incompetentes.”

Trump ainda descartou que Teerã se interessaria por atacar a água de Minnesota — “o Irã tem problemas maiores”, disse. Walz respondeu, em publicação no X, que o presidente “sabe exatamente quem é o responsável” e classificou o episódio como retrato da guerra moderna, segundo a *Newsweek*.

A cautela, porém, não vem só da retórica presidencial. O MNIT afirmou textualmente que o estado não atribuiu a atividade a nenhum ator específico e que a investigação segue em curso. Atribuição, disse a agência, exige cruzar evidência técnica com inteligência de ameaças nacional e internacional. Nenhuma agência federal atribuiu o ataque ao Irã publicamente. E há uma hipótese que raramente aparece nas manchetes: investigadores examinam se os autores tentaram fazer a operação parecer iraniana, uma falsa bandeira. As avaliações, alertaram as autoridades, são preliminares e podem mudar. O próprio comunicado do FBI, a fonte mais dura de todas, não menciona país nenhum.

Vale registrar que reportagens do New York Times e do Washington Post, citando autoridades federais e agências de inteligência, deram sustentação à suspeita iraniana. O peso das fontes é real. Mas peso de fonte anônima não é atribuição oficial — e a distância entre “provavelmente” e “confirmado” é exatamente onde uma matéria honesta precisa ficar.

Conclusão

O que se sabe é sólido: houve um ataque coordenado, ele atingiu a tecnologia de controle de dezenas de concessionárias de água em vários estados, tirou operadores do comando de seus equipamentos e não veio acompanhado de pedido de resgate. O que não se sabe é quem fez — e essa lacuna vem sendo preenchida por vazamento, análise de empresa de segurança e reportagem, não por atribuição formal de governo. É uma diferença que importa, ainda mais num ano em que a tensão entre Estados Unidos e Irã já contamina cada leitura de “quem atacou quem”.

Fica a pergunta que a própria briga entre a Casa Branca e o governo de Minnesota deixa no ar: se atribuir um ataque cibernético é tão difícil que o presidente e os investigadores do mesmo país discordam em público, quanto vale, para o cidadão que abre a torneira, saber de quem foi a culpa — comparado a saber que a planta que trata sua água estava, até anteontem, pendurada na internet com senha fraca?

Fontes

ESTADOS UNIDOS. Federal Bureau of Investigation; Environmental Protection Agency. Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing Programmable Logic Controllers, Causing Operational Disruptions. Washington, DC: FBI, 30 jul. 2026. Public Service Announcement. Disponível em: https://www.fbi.gov/investigate/cyber/alerts/2026/malicious-cyber-actors-targeting-water-and-wastewater-sector-internet–facing-programmable-logic-controllers-causing-operational-disruptions. Acesso em: 4 ago. 2026.

MOLLMAN, Steve. Minnesota Water Systems Cyberattack: Trump Rejects Iran Blame. Newsweek, 31 jul. 2026. Disponível em: https://www.newsweek.com/minnesota-water-attack-donald-trump-iran-cyberattack-12271661. Acesso em: 4 ago. 2026.

AMIR, Rahim. Hackers are going after our water now — over 30 Minnesota utilities hit in coordinated cyberattack by apparent Iranian attackers. TechRadar, 2 ago. 2026. Disponível em: https://www.techradar.com/pro/security/hackers-are-going-after-our-water-now-over-30-minnesota-utilities-hit-in-coordinated-cyberattack-by-apparent-iranian-attackers. Acesso em: 4 ago. 2026.

GREENBERG, Andy. A Leaked Memo Ties Cyberattacks on Minnesota Water Utilities to Iran. Wired, 30 jul. 2026. Disponível em: https://www.wired.com/story/a-leaked-memo-ties-cyberattacks-on-minnesota-water-utilities-to-iran/. Acesso em: 4 ago. 2026.