Varsóvia elevou o gasto de ciberdefesa para cerca de €1 bilhão após ofensivas atribuídas à Rússia contra hospitais e sistemas de água; nos EUA, avisos da CISA sobre PLCs e o caso Okta/AD expõem riscos de identidade; no Brasil, o episódio Sabesp reforça a lição de “TI afeta operação”; em Nagpur (Índia), a prefeitura relata milhares de tentativas por dia — mesmo sem impacto físico, a confiança do público é testada.
A percepção de risco em infraestruturas críticas — água e energia, sobretudo — deu um salto em 2024–2025. Na Europa, a Polônia decidiu engrossar o caixa de ciberdefesa para cerca de €1 bilhão após uma sequência de ataques atribuídos à Rússia contra hospitais e ao menos uma tentativa contra o abastecimento de água de uma grande cidade. Autoridades polonesas afirmam enfrentar de 20 a 50 tentativas diárias de sabotagem digital, repelindo a esmagadora maioria — mas reconhecem incidentes que paralisaram serviços por horas e comprometeram dados médicos. O que está em jogo para Varsóvia é combinar previsibilidade e credibilidade na proteção de sistemas civis enquanto a guerra na vizinhança se arrasta.
Nos bastidores do poder europeu, o consenso técnico é que água e saúde viraram alvos “preferenciais” por seu potencial de pressão social. O governo polonês já indicou verbas específicas para reforçar a cibersegurança hídrica, enquanto a imprensa local e internacional detalha tentativas de interferência e até jamming de GPS atribuídos a Moscou. Em linguagem de centro: diferença entre fato e opinião — os fatos são o aumento de orçamento, os alertas oficiais e uma tentativa contra sistema de água frustrada a tempo; a opinião é quanto disso altera, de imediato, a curva de risco.
EUA: PLCs sob ataque e a lição de identidade (AD/Okta)
Do outro lado do Atlântico, duas frentes estão em sinal vermelho. A primeira: controladores lógicos programáveis (PLCs) — peças-chave do chão de fábrica e de estações de água — foram explorados em ondas sucessivas entre 2023 e 2024, com destaque para dispositivos Unitronics. Em um caso no setor de água, autoridades migraram para operação manual ao detectar invasão, uma estratégia clássica de contenção. A CISA e parceiros publicaram advisories com mitigadores básicos: segregar redes, trocar senhas padrão, expor zero equipamentos OT à internet e revisar acessos remotos. Contexto e dados para além do fato: defesas de OT frágeis abrem caminho para defacement de IHMs e, pior, para manipulação de processos.
A segunda frente é a identidade. O caso Okta (2023) mostrou como uma brecha em provedor de IAM pode irradiar risco sistêmico para centenas de clientes — alguns deles operadores de serviços essenciais. Após dizer que o incidente afetara “1%” da base, a empresa revisou a avaliação e reconheceu impacto amplo entre usuários do suporte, elevando o alerta para phishing e abuso de sessão. Para Active Directory, a própria CISA reforçou que recuperar AD comprometido é caro, lento e pode desligar operações de TI que dão suporte a ambientes OT. O que muda: para utilidades, cadeias de identidade (federada, SSO, contas de suporte) são parte do perímetro.
O episódio da American Water (out.2024) também ilustra o “pânico controlado” de incidentes sem dano físico, mas com paralisação preventiva de sistemas de atendimento e faturamento. A água seguiu potável — ainda assim, o recado é cristalino: gestão de crise importa tanto quanto firewall, porque confiança pública é ativo crítico.
Brasil: quando “TI” derruba o balcão — e quase o serviço
No Brasil, a Sabesp (SP) confirmou ataque em outubro de 2024: instabilidades atingiram canais digitais; abastecimento e esgoto não foram afetados. Houve reivindicação de ransomware, investigação forense e comunicação de que eventuais vazamentos de dados teriam sido inexpressivos. Por que importa: mesmo sem impacto operacional direto, incidentes em empresas de água fraturam a relação com o usuário (fila, atraso de conta, informação truncada). Sinalização honesta, planos de contingência e testes de resiliência do backoffice viram política pública.
Na energia, o debate avança mais devagar — parte dos problemas recentes foi atribuída a falhas técnicas e não a ataques. Mas o manual é o mesmo: revisar exposição de IEDs, teleproteção e gateways; consolidar SOC com visibilidade OT; e, sobretudo, documentar quem acessa o quê, por onde e quando. Dados para decidir: maturidade cibernética no setor elétrico brasileiro ainda é desigual, e governança de identidade (incluindo AD) continua sendo calcanhar de Aquiles em diversos operadores.
Índias municipais: Nagpur como termômetro
Mesmo sem “apagar a luz” ou “turvar a água”, a frequência assusta. Em Nagpur (Índia), a prefeitura reportou 2.008 tentativas em 24 horas contra portais que incluem contas de água — investidas bloqueadas pelo firewall, com assinatura de botnets e exploração de CVEs conhecidas (Log4j, Confluence, Nexus). A narrativa é didática: ataques de reconhecimento e força bruta são o novo normal; a questão não é se, mas quando e como uma cadeia fraca (um plugin, um fornecedor, um token exposto) cede.
O que está em jogo (e o que muda)
-
Serviço essencial como alvo político-econômico. Água/energia têm baixo limiar para gerar pânico. Mesmo sem “explodir tubulação” ou “derrubar rede”, parar o balcão (billing, 0800, site) mina a confiança — e isso já basta para pressionar governos. Polônia “votou com a carteira” e ampliou orçamento; EUA apertam guidance; Brasil ainda combina planos locais e aprendizado por incidente.
-
PLCs/OT e identidade (AD/Okta) são a dupla dinâmica do risco. Um clique errado no Help Center pode abrir a porta de acesso remoto; um PLC exposto com senha padrão vira manchete. A solução é uma arquitetura de confiança: segmentação (IT–OT), MFA e chaves de hardware para contas sensíveis, redução de superfície (nada de OT com IP público), inventário e patching disciplinados.
-
Transparência e rotina de crise. A cada duas semanas, Varsóvia promete prestar contas públicas de indicadores. É um norte útil também a municípios e concessionárias: SLOs de restabelecimento, painéis de status, post-mortems abertos. Credibilidade nasce de processo reproduzível.
Diferença entre fato e opinião (leitura de centro)
-
Fato: Polônia elevou o orçamento e reportou tentativas diárias contra hospitais e água; uma investida contra sistema de água foi frustrada. Opinião: ainda levará meses para que novos gastos se traduzam em resiliência mensurável.
-
Fato: CISA confirmou exploração de PLCs em água; Okta reavaliou a abrangência do incidente de 2023. Opinião: para operadores, “identidade é o novo perímetro” já não é metáfora — é regra do jogo.
-
Fato: Sabesp sofreu ataque sem afetar produção/qualidade da água. Opinião: comunicação clara e rápida faz tanto por segurança quanto o próximo appliance no data center.
Por que importa (métricas e governança)
Um viés de centro pede métricas e governança antes de slogans. No curto prazo:
-
MTTD/MTTR (tempo para detectar e recuperar);
-
taxa de incidentes que “descem” de TI para OT;
-
porcentagem de PLCs/IEDs sem exposição pública, sem senha padrão e com firmware atualizado;
-
cobertura de MFA e chaves para contas privilegiadas e VPNs;
-
testes de restauração de backups offline;
-
treino de resposta (tabletop) com comunicação à população.
No médio prazo: redução de fraudes/boletos falsos, queda no phishing pós-Okta e melhora de SLOs em picos de demanda. Para ambiente de negócios, transparência contínua eleva credibilidade e atrai financiamento a projetos de infraestrutura.
O que muda amanhã cedo (checklist mínimo)
-
Tirar OT da internet pública, revisar portas e VPNs;
-
Inventariar PLCs/SCADA, trocar senhas padrão e aplicar hardening do vendor;
-
Blindar AD (tiering, LAPS, PAW) e exigir MFA/chaves para tudo que “toca” produção;
-
Mapear dependências de identidade (Okta/IdP) e plano B (break glass);
-
Ensaiar failover manual em água/energia sem pânico operacional;
-
Publicar painel de status e RCA após incidentes (melhora a confiança).
Nos bastidores de Brasília e demais capitais, a temperatura política sobre cibersegurança seguirá alta sempre que o noticiário exibir fila no balcão ou interrupção de atendimento. Governabilidade nesse tema não se compra — se constrói com processo, prestação de contas e entregáveis que a população percebe: água limpa na torneira, luz acesa e conta que chega no prazo.
Fontes
Financial Times – Russian hackers target Polish hospitals and city water supply; Warsaw boosts cybersecurity budget.
Reuters – Poland foiled cyberattack on big city’s water supply, deputy PM says.
Reuters – Poland says Russia is trying to interfere in election, targeting water and power.
Reuters – American Water disconnects systems after “cybersecurity incident.”
CISA – Exploitation of Unitronics PLCs used in Water and Wastewater Systems (Alert).
CISA – IRGC-affiliated actors exploit PLCs across sectors (Advisory AA23-335A).
CISA + partners – Guidance on detecting/mitigating Active Directory compromises.
Wired – Okta breach affected almost all customer support users.
CNN Brasil – Sabesp: “quantidade inexpressiva” de dados vazados; abastecimento não foi afetado.
Metrópoles – Sabesp sofre ataque cibernético; abastecimento não foi afetado.
Times of India – Nagpur: 2.008 tentativas de invasão em 24h no site da prefeitura.