A cibersegurança de infraestruturas críticas é um tema que ganhou destaque nos últimos anos, especialmente com o aumento da interconexão digital e da dependência de sistemas automatizados. Participei na semana passada de uma mesa redonda do Cyber Defense Con 2024, realizado nos Estados Unidos, e o assunto foi amplamente debatido. Tive a oportunidade de apresentar alguns casos reais da América do Sul e ouvir colegas executivos de governo e entidades privadas.
Esses sistemas, que incluem setores vitais como energia, água e esgoto, estão vulneráveis a ataques cibernéticos que podem causar impactos severos à segurança pública e à economia global. Este artigo explora as vulnerabilidades da cibersegurança nesse contexto, apresentando exemplos reais e análises de incidentes ocorridos nos últimos dois anos.
O setor de energia tem sido um dos mais visados por ataques cibernéticos. Em 2021, o ataque ao Colonial Pipeline nos Estados Unidos ilustrou a fragilidade das infraestruturas energéticas. Os hackers conseguiram acessar sistemas críticos, resultando no fechamento de um dos maiores oleodutos do país e na escassez de combustíveis em várias regiões. O incidente destacou não apenas as vulnerabilidades das redes de energia, mas também a importância da resposta rápida a crises cibernéticas.
Em 2023, um ataque semelhante ocorreu na Europa, quando uma empresa de energia na Ucrânia foi alvo de um ransomware que paralisou suas operações por dias. Esse incidente evidenciou a crescente sofisticação das ameaças e a necessidade urgente de melhorar as defesas cibernéticas em setores essenciais.
As infraestruturas de abastecimento de água também enfrentam sérias ameaças. Em março de 2021, um ataque a um sistema de tratamento de água em Oldsmar, na Flórida, expôs as vulnerabilidades da cibersegurança nesse setor. Os hackers tentaram aumentar os níveis de hidróxido de sódio na água, o que poderia ter resultado em graves riscos à saúde pública. Embora o ataque tenha sido frustrado, ele levantou alarmes sobre a segurança de sistemas que são frequentemente subestimados.
Nos últimos dois anos, relatórios de segurança cibernética indicaram que a maioria das infraestruturas de água opera com sistemas legados e tecnologias desatualizadas, tornando-as alvos fáceis para invasores. A falta de investimento em cibersegurança e a escassez de profissionais qualificados na área são fatores que agravam ainda mais essa situação.
Em outubro de 2024, a Sabesp, empresa de saneamento básico do Estado de São Paulo, sofreu um ataque cibernético que causou instabilidade em seus sistemas digitais. Embora o incidente tenha afetado alguns serviços online, como o sistema de atendimento, a empresa garantiu que não houve comprometimento de dados pessoais ou interrupção no fornecimento de água e na coleta de esgoto. A Sabesp adotou imediatamente medidas de segurança e iniciou um plano de recuperação, com seus canais de atendimento ao cliente sendo restaurados gradualmente. Ainda assim, algumas ferramentas, como o chatbot, ficaram temporariamente fora do ar, e os clientes relataram esperas mais longas em certos horários de atendimento. Essas ações fizeram parte dos esforços da Sabesp para minimizar o impacto e restaurar totalmente a integridade de sua rede digital, enquanto as investigações sobre o incidente prosseguiam.
As infraestruturas de esgoto, frequentemente negligenciadas, também estão vulneráveis a ciberataques. Em janeiro de 2022, um ataque a um sistema de controle de esgoto na cidade de Manchester, no Reino Unido, resultou em falhas operacionais que afetaram a gestão de resíduos e o tratamento de águas residuais. Embora o incidente não tenha causado uma crise imediata, ele evidenciou o potencial para problemas ambientais e de saúde pública caso um ataque mais severo ocorra.
A natureza interconectada das infraestruturas de esgoto e sua dependência de sistemas digitais significam que um ataque em um setor pode ter repercussões em outros. Isso exige uma abordagem holística para a cibersegurança, que deve incluir a colaboração entre diferentes setores e agências governamentais.
A cibersegurança para infraestruturas críticas, como energia, água e esgoto, apresenta vulnerabilidades que podem ser exploradas por cibercriminosos. Os incidentes dos últimos dois anos mostram que, embora haja conscientização crescente sobre esses riscos, ainda existem lacunas significativas nas defesas cibernéticas. É crucial que governos e empresas invistam em tecnologias de segurança, formação de profissionais e cooperação internacional para mitigar os riscos e proteger esses setores essenciais. A falta de ação pode resultar em consequências devastadoras para a sociedade, a economia e a saúde pública.
Ronaldo Andrade, CISO (Chief Information Security Officer) na Horiens.
