CISA alerta sobre PLC Siemens S7 ativos

A CISA publicou em 20 de agosto de 2026 um aviso industrial sobre uma ameaça ativa contra controladores lógicos programáveis Siemens S7 usados em vários setores de infraestrutura crítica dos Estados Unidos, entre eles energia, água e esgoto, manufatura, química, alimentos e agricultura. O alerta foi acompanhado por um advisory conjunto de agências federais e por boletins setoriais que pediram medidas imediatas de endurecimento para ambientes OT.

O que disse o advisory federal sobre Siemens S7?

O advisory AA26-231A, emitido por NSA, CISA, FBI, DOE e EPA, apontou como afetados os modelos Siemens S7-200, S7-300, S7-400, S7-1200 e S7-1500, incluindo controladores de segurança da série F, e destacou que o risco se aplica a todos os proprietários de PLC, independentemente do tipo de instalação ICS/OT. Boletins estaduais e de associações do setor de água replicaram o aviso com linhas diretas de contato com a CISA, como o 1-844-Say-CISA, e com resumos de mitigação prioritária para utilities de água e esgoto.

Quais técnicas os atacantes estão usando?

As agências e a cobertura técnica descrevem uma cadeia que combina reconhecimento público e automação com IA. Segundo o advisory e as análises citadas, os atores usam serviços de varredura na Internet como Censys e ZoomEye para localizar PLC Siemens S7 com a porta 102 exposta e, depois, geram scripts de exploração em Python com ferramentas de inteligência artificial. A TechTimes informou ainda que esses exploits se apoiam em bibliotecas open source como snap7 e python-snap7, e que o aviso federal inclui como indício de comprometimento o uso não autorizado de snap7.dll fora de sistemas aprovados.

A mesma cobertura sustenta que este é o primeiro aviso oficial dos EUA a reconhecer explicitamente o uso de código gerado por IA para escrever exploits contra PLCs Siemens S7 implantados em plantas de água, energia, química e manufatura. A TechCrunch também informou que as agências alertam para scripts baseados em informações públicas sobre Siemens S7, com foco em equipamentos desatualizados ou mal protegidos.

Como as autoridades pediram a resposta?

A CISA e seus parceiros recomendaram remover da Internet os PLC Siemens S7 expostos diretamente, inventariar todos os equipamentos S7, aplicar patches críticos, reforçar controles de acesso, monitorar atividade não autorizada e endurecer serviços, protocolos e a integridade do ladder logic. A WaterISAC consolidou o aviso em boletins TLP:CLEAR e pediu que os operadores revisem quais equipamentos concretos de seus ambientes ICS/SCADA estão incluídos e apliquem mitigação específica.

A resposta setorial também alcançou o caso de Minnesota. A cobertura regional detalhou que mais de 30 utilities comunitárias de água naquele estado foram alvo de uma campanha coordenada em 26 e 27 de julho, enquanto autoridades federais e estaduais investigam ataques contra instalações de tratamento de água e esgoto em vários estados dos EUA. A Teknopolitika acrescentou que a resposta incluiu a ativação de capacidades de resposta a incidentes cibernéticos do estado e a coordenação entre o Departamento de Segurança Pública de Minnesota, o Minnesota Fusion Center, o Departamento de Saúde, a Agência de Controle da Poluição, a CISA, a EPA, o FBI e as utilities locais.

Há atribuição confirmada?

Não há atribuição formal confirmada no material fornecido. A Security Boulevard descreveu a onda de ataques contra tecnologia operacional de utilities de água nos Estados Unidos e disse que alguns pesquisadores a consideram possivelmente ligada ao Irã, mas sem confirmação oficial. A OPSWAT, em uma análise setorial, indicou que autoridades federais teriam apontado preliminarmente o Irã como principal suspeito por trás dos ataques em Minnesota e Michigan, embora tenha esclarecido que a atribuição segue preliminar e que o FBI mantém a investigação aberta.