Um ataque cibernético coordenado atingiu mais de 30 sistemas de tratamento e distribuição de água no estado americano de Minnesota nos dias 26 e 27 de julho de 2026. Cidades como Braham, Plymouth, South St. Paul e Maple Plain relataram interrupções: sistemas de tratamento desativados, falhas de comunicação com caixas d’água e estações de esgoto e automações que simplesmente pararam de responder. Em Braham, o tratamento ficou cerca de três horas fora do ar.
O alvo escolhido diz muito. Os invasores não foram atrás da rede administrativa, das planilhas ou dos e-mails — foram direto na tecnologia operacional, a camada de controles industriais que comanda bombas, válvulas e o próprio processo de tratamento. As portas de entrada suspeitas são controladores lógicos programáveis (CLPs) e softwares SCADA, equipamentos que costumam ter uma década ou mais de uso, ficar acessíveis pela internet por conveniência de manutenção e receber atualizações num ritmo bem diferente do que se exige de um servidor corporativo.
FBI, CISA e o Minnesota IT Services (MNIT) montaram uma força-tarefa conjunta para investigar. Até agora não há evidência de vazamento de dados nem de comprometimento da qualidade da água, e o MNIT foi direto ao afirmar que não há necessidade de mudança no consumo pela população. A autoria segue sem confirmação, mas o modo de operação é compatível com campanhas já atribuídas a grupos ligados ao Irã, conhecidas por explorar equipamentos de Rockwell Automation, Siemens e Schneider Electric — os mesmos fabricantes que dominam esse mercado no mundo inteiro.
E é aí que o caso deixa de ser uma notícia estrangeira. O Brasil opera a mesma infraestrutura, comprada dos mesmos fornecedores, em companhias de saneamento de porte muito variado — de estatais estaduais robustas a autarquias municipais com equipe de TI de duas pessoas. A diferença entre Minnesota e uma cidade média brasileira não está na tecnologia instalada, está na capacidade de detectar que alguém entrou. Vale registrar o que houve de acerto no episódio americano: os sistemas foram derrubados, mas ninguém conseguiu adulterar o tratamento, e a comunicação com a população saiu rápida e sem alarmismo. Segmentar a rede operacional, tirar CLP de vista da internet e manter um plano de resposta ensaiado continuam sendo o básico não negociável — e é justamente o básico que costuma faltar.
