A Agência de Segurança Cibernética e Infraestrutura (CISA) emitiu um alerta urgente para organizações de água e esgoto devido ao aumento de ciberataques direcionando controladores lógicos programáveis (PLCs) expostos à internet. PLCs são dispositivos industriais que controlam processos físicos críticos como tratamento de água, bombeamento, dosagem química e gerenciamento de esgoto. Quando esses sistemas são acessíveis da internet, atacantes podem tentar alterar suas configurações, interromper operações ou bloquear pessoal autorizado fora de equipamentos essenciais.
Evidências e limites
A CISA relatou que atores de ameaças têm visado entidades de água de todos os tamanhos, incluindo aquelas com programas de cibersegurança estabelecidos. Em incidentes recentes, atacantes modificaram senhas de PLC para impedir que operadores acessassem os dispositivos. Eles também alteraram endereços IP do dispositivo, desconectando efetivamente os PLCs de suas organizações gerenciadoras. Essas ações levaram a interrupções operacionais, incluindo avisos de ferver água e operação manual prolongada de sistemas de água.
Exposição não óbvia
A agência alertou que a exposição pública a vulnerabilidades nem sempre é óbvia. Alguns ativos de tecnologia operacional podem estar conectados via modems celulares instalados por fornecedores de equipamentos, integradores ou operadores. Essas conexões podem não aparecer em varreduras de superfície de ataque externa ou inventários de ativos, deixando as organizações sem saber que um PLC está acessível online.
Medidas de mitigação recomendadas
A CISA insta proprietários, operadores e integradores de sistemas a desconectarem os PLCs da internet imediatamente. O acesso remoto não deve conectar diretamente a um PLC; em vez disso, organizações devem usar uma rede privada virtual (VPN) devidamente protegida ou um dispositivo de gateway que forneça autenticação, monitoramento e controle de acesso. Utilitários de água também devem impor proteção de senha substituindo credenciais padrão e usando senhas fortes e únicas para cada dispositivo.
Implicações regulatórias e operacionais
Após remover a exposição externa, os utilitários devem garantir que tenham um backup limpo da imagem e configuração do PLC. Isso é crucial no caso de um atacante alterar uma senha ou modificar configurações de dispositivo. Um backup verificado pode ajudar operadores a restaurar o acesso e retornar o equipamento a um estado seguro e conhecido. A CISA recomenda seguir suas orientações de mitigação de tecnologia operacional.