Senha de fábrica, comporta aberta: o padrão que atravessa três países

A cobertura de ataques a infraestrutura crítica é dominada por uma pergunta: quem são os responsáveis? Ela é irresistível porque envolve serviços de inteligência, siglas de grupos e tensão geopolítica. O Arcavox já a percorreu no caso americano, e a conclusão foi que a distância entre “provavelmente” e “confirmado” continua sem ser vencida.

Há uma segunda pergunta, menos vistosa, cuja resposta é pública, documentada e idêntica em três países: como entraram?

Entre abril de 2025 e julho de 2026, três episódios com atacantes distintos atingiram infraestrutura essencial na Noruega, na Polônia e nos Estados Unidos. Nenhum exigiu vulnerabilidade inédita ou malware sofisticado no ponto de entrada. Os três exploraram equipamento industrial acessível pela rede pública, protegido por credencial de fábrica ou senha fraca.

Não é coincidência. É arquitetura.

---

Noruega, abril de 2025: uma senha

Em 7 de abril de 2025, invasores acessaram o sistema de controle da represa do Lago Risevatnet, em Bremanger, na costa oeste norueguesa. Abriram uma comporta em capacidade máxima e mantiveram a descarga por quatro horas — cerca de 500 litros por segundo.

Não houve dano físico nem feridos: os níveis do reservatório estavam bem abaixo da capacidade de inundação, e a folga hidrológica absorveu o que a segurança digital não conteve.

O método foi uma senha fraca numa interface homem-máquina (Human-Machine Interface, HMI) acessível pela web. Sem falha inédita, sem malware avançado no acesso inicial. Em agosto de 2025, a chefe do Serviço de Segurança Policial da Noruega (Politiets sikkerhetstjeneste, PST), Beate Gangås, atribuiu o episódio a atores pró-Rússia e o descreveu como parte de uma campanha de guerra híbrida destinada a demonstrar capacidade.

O detalhe que costuma escapar: a atribuição levou quatro meses. A invasão levou o tempo de digitar uma senha.

---

Polônia, dezembro de 2025: a conta chamada “Default”

Oito meses depois, em 29 de dezembro de 2025, durante uma frente de frio severo e alta demanda de aquecimento, ataques coordenados atingiram pelo menos trinta instalações eólicas e solares, uma grande usina de cogeração de calor e energia (Combined Heat and Power, CHP) e uma empresa de manufatura na Polônia.

O vetor inicial foram dispositivos de firewall FortiGate expostos, sem autenticação de múltiplos fatores e com firmware desatualizado. A partir do momento em que o atacante obteve privilégio administrativo ali, o interior da rede ofereceu pouca resistência — e o relatório da Equipe de Resposta a Emergências Computacionais da Polônia (Computer Emergency Response Team Polska, CERT Polska) descreve por quê.

Os controladores Hitachi RTU560 que operavam as subestações tinham uma conta embutida literalmente chamada “Default”. As unidades terminais remotas Mikronika, construídas sobre Linux, aceitavam credenciais SSH padrão com acesso direto a shell de administrador. Os servidores seriais Moxa NPort estavam com a interface web aberta e as credenciais de fábrica intactas.

Com a conta padrão, o atacante carregou firmware corrompido nos RTU560 — em formato ELF, com 240 bytes de 0xFF inseridos no ponto de entrada do programa, provocando reinicialização infinita. As estações perderam a comunicação com o operador de distribuição e o controle remoto. A geração de energia, no entanto, não parou.

Aqui a precisão importa mais que o efeito dramático. Na usina de cogeração, o objetivo era a destruição irreversível de dados por um programa apagador distribuído via diretiva de grupo — e a solução de detecção e resposta em endpoint (Endpoint Detection and Response, EDR) da organização bloqueou o ataque, barrando o apagador duas vezes e obrigando o atacante a gastar cerca de cinquenta minutos recompilando. A destruição efetiva ocorreu na empresa de manufatura, alvo coordenado no tempo mas oportunista.

Um segundo incidente, revelado apenas em agosto de 2026 após investigação de mais de três meses, atingiu em paralelo uma usina de cogeração menor, que fornece calor a 50 mil moradores. Ali o CERT Polska identificou um vetor não observado antes: um nome de ponto de acesso privado (Access Point Name, APN) de rede celular. Uma turbina a vapor e o sistema de tratamento de água de processo foram desligados, e a resposta dos operadores limitou o dano a uma parada curta.

Sobre autoria, o registro exato: a infraestrutura utilizada mostra alto grau de sobreposição com o agrupamento conhecido como Static Tundra, Berserk Bear, Ghost Blizzard ou Dragonfly, conforme a empresa que o rastreia. Quanto ao Sandworm, o CERT Polska classificou as semelhanças de código entre o apagador DynoWiper e ferramentas do grupo como de natureza geral, sem evidência concreta de participação. Sobreposição de infraestrutura não é ordem de comando.

Duas turbinas paradas por uma conta que o fabricante entregou ligada.

---

Estados Unidos, julho de 2026: nada de novo

O terceiro episódio é o mais recente e o mais coberto. Desde 27 de julho de 2026, concessionárias de água e esgoto em pelo menos sete estados reportaram incidentes à Polícia Federal americana (Federal Bureau of Investigation, FBI); em Minnesota, mais de trinta sistemas comunitários foram atingidos ao mesmo tempo. O Arcavox tratou do caso e da disputa em torno de sua autoria em matéria anterior. Dois dados interessam ao padrão — e um deles corrige o número que circulou em julho.

O primeiro: o escopo cresceu. Em 4 de agosto, a ABC News reportou pelo menos doze estados afetados, e a CBS News confirmou de forma independente em 6 de agosto. Além de Minnesota, foram nomeados Michigan, com nove sistemas municipais confirmados pelo departamento ambiental estadual; a Geórgia, onde a queda de pressão na Clayton County Water Authority levou a aviso de fervura de água para 300 mil clientes na região de Atlanta; além de Nova Jersey e Dakota do Sul, sem instalações identificadas.

O segundo: o método de entrada. O comunicado do FBI e da Agência de Proteção Ambiental dos Estados Unidos (Environmental Protection Agency, EPA) descreve acesso remoto a controladores lógicos programáveis (Programmable Logic Controllers, PLCs) Rockwell Automation/Allen-Bradley das séries MicroLogix 1100 e 1400 ligados diretamente à internet, com alteração de endereço de rede e senha.

Vale desfazer uma confusão que a cobertura técnica espalhou. A vulnerabilidade CVE-2021-22681 — um contorno de autenticação em controladores Logix da Rockwell, com pontuação 9.8 na escala do Sistema Comum de Pontuação de Vulnerabilidades (Common Vulnerability Scoring System, CVSS) — tem sido apontada como o vetor desses ataques. Não é o que os documentos dizem: o comunicado federal AA26-097A não nomeia nenhuma CVE, e o método descrito pelo FBI para os MicroLogix de julho é outro.

Ainda assim, ela pertence a esta história por um motivo estrutural. Foi divulgada em fevereiro de 2021, e a exploração em ambiente real só foi confirmada em março de 2026, quando a Rockwell atualizou o aviso SD1672 e a Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos (Cybersecurity and Infrastructure Security Agency, CISA) a incluiu no catálogo de Vulnerabilidades Exploradas Conhecidas. Cinco anos entre a divulgação e o uso confirmado. E não há correção: a Rockwell afirma que a falha não pode ser resolvida por atualização de software, remetendo a mitigações de arquitetura.

Quem depende de rotina de correções para resolver isso nunca vai resolver.

---

O que os três casos têm em comum

Uma senha fraca. Uma conta de fábrica. Um controlador na internet pública.

A explicação está no projeto do equipamento. A maioria dos sistemas de controle industrial foi desenhada nas décadas de 1980 e 1990 com prioridade para disponibilidade, não para segurança. Protocolos legados como Modbus, BACnet, S7comm e IEC 104 não possuem autenticação nem criptografia nativas, e o equipamento permanece em operação por vinte a trinta anos.

A dimensão depende de como se conta. A Censys registra a passagem de 129 mil dispositivos de controle industrial expostos à internet em 2024 para 138 mil no início de 2026, com a América do Norte concentrando cerca de 38% do total. A Bitsight, medindo quinze protocolos por endereços IP únicos mensais, registra algo em torno de 180 mil e observa que a projeção de ultrapassar 200 mil, feita no ano anterior, não se confirmou. São metodologias distintas, não uma faixa — quem somar os dois números erra.

Para o equipamento do caso americano, o número é específico: em abril de 2026 a Censys identificou 5.219 hosts globalmente expostos que se identificavam como Rockwell Automation/Allen-Bradley, com 74,6% da exposição nos Estados Unidos, e parcela desproporcional operando em redes de operadoras celulares.

Esse dado fecha o triângulo. A CISA registrou que o alvo inclui modems celulares instalados por operadores, fornecedores ou integradores, que podem não estar documentados nem incluídos nas varreduras de rotina da superfície de ataque. Na Polônia, o vetor da segunda usina foi exatamente esse. Em Plymouth, foram os equipamentos com conexão celular em duas caixas d’água e em estações elevatórias de esgoto que a prefeitura desconectou para conter o ataque.

O modem celular instalado pelo terceirizado é a porta que ninguém desenhou no diagrama.

---

A parte documentada e ignorada

Nos Estados Unidos, o problema não é falta de diagnóstico, é excesso de diagnóstico sem consequência.

Desde 2010, o Escritório de Prestação de Contas do Governo dos Estados Unidos (Government Accountability Office, GAO) classifica a cibersegurança de infraestrutura crítica como área de alto risco. Em maio de 2024, reportou que 567 de 1.610 recomendações feitas desde então permaneciam sem implementação; na área específica de proteção de infraestrutura crítica, 51% não haviam sido adotadas.

No setor de água, a EPA constatou que, desde setembro de 2023, mais de 70% dos sistemas inspecionados violavam a Seção 1433 da Lei de Água Potável Segura, que exige avaliações de risco e planos de resposta a emergências. Entre as falhas: senhas padrão não alteradas, credenciais compartilhadas, acesso não revogado de ex-funcionários e controladores expostos diretamente à internet. A agência tentou impor auditorias obrigatórias em março de 2023 e retirou o requisito sete meses depois, após contestações judiciais de estados e associações do setor que alegaram excesso de autoridade legal.

No setor elétrico, onde a norma de Proteção de Infraestrutura Crítica (Critical Infrastructure Protection, CIP) do Conselho Norte-Americano de Confiabilidade Elétrica (North American Electric Reliability Corporation, NERC) é obrigatória e as penalidades chegam a 1,54 milhão de dólares por violação por dia, o resultado documentado é outro tipo de falha. Auditorias de 2025 encontraram segmentação física inadequada, supervisão insuficiente de terceirizados e uso de nuvem para sistemas de controle de acesso sem acordos documentados de responsabilidade.

Auditoria sem poder de execução na água. Poder de execução sem segurança efetiva na energia.

---

Contraditório

A palavra “negligência” precisa de qualificação, e há três argumentos honestos do outro lado.

O primeiro é de escala. Os Estados Unidos têm entre 150 mil e 170 mil sistemas de água, a maioria pequena, rural e sem equipe dedicada de segurança em tecnologia operacional. Braham tem 1.700 habitantes. Cobrar dela o programa de segurança de uma operadora metropolitana é cobrar o impossível.

O segundo é técnico. Ambientes industriais frequentemente não podem ser desligados para manutenção, e no caso da CVE-2021-22681 não existe correção a aplicar: a única remediação disponível é arquitetural, e exige capital.

O terceiro é de responsabilidade compartilhada. A Hitachi Energy, ao responder ao incidente polonês, observou que os equipamentos comprometidos estavam com credenciais padrão, recursos de segurança recomendados desativados, firmware desatualizado e atrás de firewalls vulneráveis — atribuindo o problema à higiene do ambiente, não ao produto. O contra-argumento é evidente: um controlador que sai de fábrica com uma conta chamada Default transfere ao cliente uma decisão que o fabricante poderia ter tomado sozinho.

Mas há um limite para o contraditório, e ele vem dos próprios casos. Na Polônia, o que barrou a destruição de dados foi uma configuração de detecção que a empresa tinha e usou. Em Braham, a estação voltou em duas horas porque havia gente treinada para operar no braço. Em Plymouth, a prefeitura desconectou o que precisava porque sabia o que estava conectado.

O que separou o dano contido do dano grave, nos três países, não foi orçamento. Foi inventário e treino.

---

Perguntas que a apuração ainda precisa responder

1. Existe, em qualquer um dos três países, inventário unificado de controladores, firmware, fornecedores e conexões remotas de infraestrutura essencial? Se não, qual órgão deveria mantê-lo?
2. Quem autoriza a instalação de modems celulares por terceirizados em ambiente operacional? Há avaliação formal de risco, ou a decisão é do integrador?
3. Fabricantes que entregam produto com credencial padrão ativa têm responsabilidade legal quando ela é explorada? Existe jurisdição onde isso foi testado em juízo?
4. Quantos sistemas de água conseguem operar manualmente por período prolongado — e quantos operadores capazes disso estão a menos de cinco anos da aposentadoria?
5. No Brasil, quantos controladores de estações de tratamento e subestações estão acessíveis pela internet pública? Existe levantamento oficial?

---

Conclusão

A comporta norueguesa abriu por uma senha fraca. As turbinas polonesas pararam por uma conta de fábrica que o fabricante entregou ligada. Os operadores americanos perderam o comando de suas plantas porque o controlador estava na internet pública com a autenticação que veio na caixa.

A discussão sobre autoria vai continuar, e deve — atribuição importa para política externa, sanção e dissuasão. Mas ela ocupa o espaço de uma pergunta que já tem resposta e não depende de inteligência classificada: os equipamentos que controlam água, calor e eletricidade de milhões de pessoas estão pendurados na rede pública, e isso está medido, publicado e datado.

A CISA repete a mesma orientação há anos, e ela cabe em seis palavras: tire os controladores da internet pública. A pergunta que fica não é quando virá o próximo ataque. É quantos relatórios de auditoria ainda precisam ser escritos para que alguém puxe o cabo.

---

Fontes

[1] BOOTH, William; colaboradores. Russian-linked hackers took control of Norwegian dam. The Guardian, 14 ago. 2025. Disponível em: https://www.theguardian.com/world/2025/aug/14/russian-hackers-control-norwegian-dam-norway. Acesso em: 26 ago. 2026.

[2] REUTERS. Norway spy chief blames Russian hackers for dam sabotage. 13 ago. 2025. Disponível em: https://www.reuters.com/technology/norway-spy-chief-blames-russian-hackers-dam-sabotage-april-2025-08-13/. Acesso em: 26 ago. 2026.

[3] CERT POLSKA. Energy Sector Incident Report — 29 December 2025. Varsóvia, 30 jan. 2026. Disponível em: https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/. Acesso em: 26 ago. 2026.

[4] IOACTIVE. Lessons from the Polish Energy Sector Incident. jul. 2026. Disponível em: https://www.ioactive.com/lessons-from-the-polish-energy-sector-incident/. Acesso em: 26 ago. 2026.

[5] SECURITYWEEK. Default ICS Credentials Exploited in Destructive Attack on Polish Energy Facilities. fev. 2026. Disponível em: https://www.securityweek.com/default-ics-credentials-exploited-in-destructive-attack-on-polish-energy-facilities/. Acesso em: 26 ago. 2026.

[6] CERT POLSKA. Follow-Up Report of the December 2025 Energy Sector Incident. Varsóvia, ago. 2026. Disponível em: https://cert.pl/en/posts/2026/08/incident-follow-up-report-energy-sector-2025/. Acesso em: 26 ago. 2026.

[7] THE HACKER NEWS. CERT Polska Details Coordinated Cyber Attacks on 30+ Wind and Solar Farms. jan. 2026. Disponível em: https://thehackernews.com/2026/01/poland-attributes-december-cyber.html. Acesso em: 26 ago. 2026.

[8] TENABLE RESEARCH SPECIAL OPERATIONS. Coordinated “cyberattack” on U.S. water utilities: What you need to know. 28 jul. 2026, atualizado em 10 ago. 2026. Disponível em: https://www.tenable.com/blog/coordinated-cyberattack-on-minnesota-water-utilities-what-you-need-to-know. Acesso em: 26 ago. 2026.

[9] ESTADOS UNIDOS. Federal Bureau of Investigation; Environmental Protection Agency. Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing Programmable Logic Controllers, Causing Operational Disruptions. Public Service Announcement I-073026-PSA, 30 jul. 2026. Disponível em: https://www.fbi.gov/investigate/cyber/alerts/2026/malicious-cyber-actors-targeting-water-and-wastewater-sector-internet–facing-programmable-logic-controllers-causing-operational-disruptions. Acesso em: 26 ago. 2026.

[10] BITSIGHT. 2026 Global State of ICS/OT Exposure. jun. 2026. Disponível em: https://www.bitsight.com/blog/2026-global-state-of-ics-ot-exposure. Acesso em: 26 ago. 2026.

[11] ELECTRIC ENERGY ONLINE. SCADA System Vulnerabilities to Cyber Attack. Disponível em: https://electricenergyonline.com/energy/magazine/181/article/SCADA-System-Vulnerabilities-to-Cyber-Attack.htm. Acesso em: 26 ago. 2026.

[12] CYBERSECURITY DIVE. The most vulnerable AI products are also some of the most commonly exposed online (dados Censys). jul. 2026. Disponível em: https://www.cybersecuritydive.com/news/industrial-control-systems-ai-internet-exposure-censys-report-preview/826133/. Acesso em: 26 ago. 2026.

[13] DEFCON LEVEL. FBI and EPA Warn of Cyber Attacks on Internet-Facing Controllers in Water Systems. 31 jul. 2026. Disponível em: https://www.defconlevel.com/alert/2026-07-31-fbi-and-epa-warn-of-cyber-attacks-on-internet-facing-controllers-in-water-systems. Acesso em: 26 ago. 2026.

[14] ESTADOS UNIDOS. Government Accountability Office. High-Risk Series: Urgent Action Needed to Address Critical Cybersecurity Challenges. GAO-24-107231, 2024. Disponível em: https://www.gao.gov/products/gao-24-107231. Acesso em: 26 ago. 2026.

[15] ESTADOS UNIDOS. Government Accountability Office. GAO-24-107231 (documento completo em PDF). Disponível em: https://www.gao.gov/assets/gao-24-107231.pdf. Acesso em: 26 ago. 2026.

[16] ESTADOS UNIDOS. Government Accountability Office. GAO-24-106221. Disponível em: https://www.gao.gov/assets/d24106221.pdf. Acesso em: 26 ago. 2026.

[17] NEXTGOV. More than 70% of surveyed water systems failed to meet EPA cyber standards. mai. 2024. Disponível em: https://www.nextgov.com/cybersecurity/2024/05/more-70-surveyed-water-systems-failed-meet-epa-cyber-standards/396727/. Acesso em: 26 ago. 2026.

[18] ESTADOS UNIDOS. Environmental Protection Agency. Enforcement Alert: Drinking Water Systems to Address Cybersecurity Vulnerabilities. Disponível em: https://www.epa.gov/enforcement/enforcement-alert-drinking-water-systems-address-cybersecurity-vulnerabilities. Acesso em: 26 ago. 2026.

[19] ESTADOS UNIDOS. Government Accountability Office. Critical Infrastructure Protection: EPA Urgently Needs a Strategy. GAO-24-106744. Disponível em: https://www.gao.gov/assets/gao-24-106744.pdf. Acesso em: 26 ago. 2026.

[20] INDUSTRIAL CYBER. FERC finds compliance gaps, security risks in 2025 NERC Critical Infrastructure Protection audits. Disponível em: https://industrialcyber.co/utilities-energy-power-water-waste/ferc-finds-compliance-gaps-security-risks-in-2025-nerc-critical-infrastructure-protection-audits/. Acesso em: 26 ago. 2026.