Autoridades em Oldsmar, na Flórida, estão investigando um caso de hack em que alguém sequestrou o sistema de computadores da estação de tratamento de água da cidade e tentou elevar o teor de hidróxido de sódio a níveis tóxicos. A estação que foi alvo do ataque é a principal fonte de água potável para as empresas do município e seus 15 mil residentes.
Durante uma coletiva de imprensa na última segunda-feira (8), o xerife do condado de Pinellas, Bob Gualtieri, disse que um hacker obteve acesso aos sistemas de controle da estação na sexta-feira passada (5). E o invasor conseguiu fazer isso não uma, mas duas vezes.
Muitas instalações de água agora usam programas de acesso remoto conectados à internet que permitem aos operadores monitorar e manipular os sistemas à distância. O hacker inicialmente invadiu este sistema na sexta-feira de manhã, mas a atividade não foi sinalizada como suspeita porque os supervisores acessam o sistema remotamente com frequência e, portanto, presumiram que não se tratava de uma atividade duvidosa.
No entanto, durante a segunda invasão no final da tarde, um operador em serviço testemunhou o hacker “abrindo várias funções no sistema que controlam a quantidade de hidróxido de sódio na água”. O operador de plantão que presenciou isso imediatamente reduziu “os níveis para a quantidade adequada” e, em seguida, notificou seu supervisor sobre o incidente. Ao todo, o hacker permaneceu ativo no sistema por 3 a 5 minutos.
“O hacker mudou os níveis de hidróxido de sódio de 100 partes por milhão para 11.100 partes por milhão. Este é obviamente um aumento significativo e perigoso”, disse Gualtieri.
O hidróxido de sódio, também conhecido como soda cáustica, é um elemento corrosivo comumente usado em pequenas doses para evitar a deterioração da tubulação em sistemas de água. Em altas doses, a soda cáustica causa problemas de saúde muito graves, como cegueira e até morte.
“Em nenhum momento houve um efeito significativo na água tratada. E mais importante: a população nunca esteve em perigo”, afirmou Gualtieri, acrescentando que as autoridades ainda não tinham suspeitos para o incidente. Os investigadores têm algumas pistas, e o FBI e o Serviço Secreto dos EUA estão ajudando nas investigações.
“Não sabemos no momento se a violação teve origem nos Estados Unidos ou fora do país. Também não sabemos por que o sistema foi alvejado e não temos conhecimento de nenhum outro sistema sendo acessado ilegalmente. Por causa dessa violação de segurança, estamos solicitando que todas as entidades governamentais dentro da área de Tampa Bay com componentes críticos de infraestrutura revisem ativamente seus protocolos de segurança de computador”, disse o xerife.
É um incidente muito bizarro. Os especialistas em segurança cibernética levantam hipóteses sobre como os sistemas de serviços públicos podem ser sequestrados para cometer atos de terrorismo, mas são poucos exemplos no mundo real até agora. Ataques cibernéticos à tecnologia operacional normalmente envolvem crimes com motivação financeira — como a série contínua de ataques de ransomware envolvendo grandes empresas de transporte.
Também vale considerar o fato de que os sistemas de água dos EUA já estão com problemas o suficiente sem adicionar ataques cibernéticos terroristas a essa lista, como a própria infraestrutura dessas instalações, que são antigas e carecem de reforço.