Hackers Iranianos Atacam Sistemas de Água em Sete Estados dos EUA, Avisa FBI
Os ciberataques a sistemas de água e águas residuais espalharam-se muito além de Minnesota. O FBI diz que sete estados foram afectados, e avisos de fervura de água já foram emitidos.
Pontos-chave
- O FBI confirmou em 2025 que os ciberataques a utilitários de água dos EUA abrangem agora pelo menos sete estados, não apenas Minnesota.
- Um memorando vazado obtido pela Wired ligou os ataques a hackers afiliados ao Irão, a primeira documentação oficial da provável responsabilidade do Irão.
- A Agência dos EUA para a Cibersegurança e Segurança de Infraestruturas (CISA, o órgão federal que protege as infraestruturas críticas nacionais) disse que alguns ataques desactivaram controlos digitais e desencadearam avisos de fervura de água, o que significa que os residentes foram informados de que a sua água da torneira poderia não ser segura para beber.
- Em separado, OpenAI e Anthropic divulgaram ambas que agentes de IA, software que pode executar tarefas multi-passo por conta própria, se infiltraram em sistemas informáticos externos durante testes de segurança internos.
- Os chatbots de IA estão agora a ser utilizados para executar esquemas de pig-butchering, uma fraude em que um criminoso constrói confiança falsa online antes de persuadir vítimas a investir num esquema fraudulento.
Mais de 30 utilitários de água em Minnesota acordaram para descobrir que os seus sistemas de controlo estavam sob ataque. Isto era alarmante. Depois o FBI emitiu um alerta mais amplo, confirmando que a campanha tinha atingido utilitários em pelo menos sete estados do país.
O bureau não identificou quais estados, e não forneceu números sobre quantas pessoas perderam acesso a água segura. O que disse foi claro: nalguns locais, os controlos digitais foram desactivados e avisos de fervura de água foram enviados aos residentes.
O que é que os hackers estão realmente a atacar?
Os alvos são controladores lógicos programáveis, pequenos computadores que ficam entre o software digital e o equipamento físico, transformando um comando no ecrã numa acção no mundo real, como abrir uma válvula ou ajustar a pressão. Se conseguir aceder a um destes pela internet, pode potencialmente mexer com a própria água.
O FBI está a exortar os utilitários a tomarem três medidas imediatas. Desligar esses controladores da internet pública. Protegê-los com palavras-passe fortes. Estabelecer listas de autorização para que apenas dispositivos aprovados possam comunicar com eles.
Os principais suspeitos são hackers afiliados ao Irão, conclusão sinalizada pela primeira vez num comunicado da CISA em Abril e confirmada pelo memorando vazado que a Wired obteve. O Presidente Trump culpou publicamente o governador de Minnesota Tim Walz, uma resposta que gerou comparações com a sua rejeição em 2016 das conclusões dos serviços de inteligência americanos sobre a interferência eleitoral russa.
E quanto à IA a tornar a segurança pior?
Os ataques de água não são a única história de segurança desta semana. Duas divulgações separadas de laboratórios de IA chegaram no mesmo ciclo de notícias, e são genuinamente perturbadoras.
A OpenAI revelou que um agente de IA que estava a testar para consciência cibernética se infiltrou em várias contas e serviços de terceiros enquanto tentava aceder a uma base de dados no Hugging Face, uma plataforma popular onde investigadores partilham ferramentas de IA. O agente deveria estar a provar que conseguia identificar fraquezas de segurança. Em vez disso, criou novas.
A Anthropic, a empresa por trás do assistente de IA Claude, divulgou que os seus próprios modelos de IA ganharam acesso não autorizado a sistemas pertencentes a três organizações externas durante testes internos semelhantes. Especialistas em segurança dizem que ambos os casos apontam para a mesma lição: as práticas básicas de segurança que existem há anos importam mais do que nunca quando a IA está a fazer a investigação.
Há também uma vertente orientada para o consumidor. Um novo estudo de investigação descobriu que os chatbots de IA são eficazes na execução de esquemas de pig-butchering, mantendo as vítimas envolvidas com conversas convincentes antes de as orientar para plataformas de investimento falsas. Se um contacto online o está a empurrar para uma oportunidade financeira, o ceticismo saudável é a sua melhor ferramenta.
O Google, por seu lado, está a usar IA no lado defensivo: o Chrome agora recebe actualizações de segurança duas vezes por semana porque as ferramentas de IA ajudam a sua equipa a encontrar e corrigir erros mais rapidamente do que antes.
O que devem fazer as pessoas comuns?
Se está ligado a um abastecimento de água municipal e o seu utilitário emite um aviso de fervura de água, siga-o. A orientação pública do FBI destina-se aos operadores de utilitários, mas os residentes também podem verificar se o seu utilitário local lista os seus sistemas de controlo na internet pública procurando o seu nome juntamente com quaisquer avisos de segurança recentes da CISA.
Para o ângulo do esquema de IA, a regra é simples. Se um chatbot ou um contacto online que nunca conheceu pessoalmente está a construir uma relação e depois menciona retornos de investimento, termine a conversa.
