Mais de 4.400 PLCs Expostos: O Ataque à Água que Expõe Seus Dados

A notícia é alarmante: mais de 4.400 controladores lógicos programáveis (PLCs) da Rockwell Automation foram encontrados expostos na internet, e 22 deles estavam em cidades americanas que sofreram ataques cibernéticos recentes a sistemas de água. A descoberta, feita pela empresa de segurança Forescout e divulgada pelo The Hacker News, revela uma falha de segurança que vai muito além do mundo industrial. Ela escancara como a exposição digital irresponsável pode afetar serviços essenciais e, por tabela, a sua vida — e os seus dados.

Segundo o relatório, 19 desses controladores usavam a mesma rede de uma operadora móvel, e a maioria estava nos Estados Unidos. Mas o que isso tem a ver com você, que está do outro lado do continente, preocupado com vazamentos de dados e golpes financeiros? Tudo. Porque quando infraestruturas críticas são negligenciadas, a porta se abre para ataques que podem paralisar cidades, manipular sistemas e, no fim, usar essas brechas para chegar até informações pessoais. E as empresas? Preferem o silêncio.

O silêncio ensurdecedor das empresas após um ataque

O comunicado oficial do FBI e da EPA (Agência de Proteção Ambiental dos EUA) menciona incidentes em “pelo menos sete estados”. Mas o The Hacker News aponta que a Forescout fala em “pelo menos 12”. Essa discrepância não é um mero detalhe: é um sintoma de como empresas e órgãos públicos minimizam o alcance real de um ataque. Nenhuma agência atribuiu a campanha a um grupo específico, e a Forescout não pôde confirmar se os controladores expostos foram efetivamente comprometidos. Mas o estrago já estava feito.

O que me incomoda como analista de privacidade é a naturalidade com que se trata a exposição de dispositivos críticos na internet. A porta 44818, usada pelo protocolo EtherNet/IP, estava aberta, sem autenticação. Qualquer pessoa com conhecimento técnico poderia identificar os controladores e, dependendo da configuração, até alterar suas configurações. Isso não é uma vulnerabilidade complexa; é negligência pura. E as empresas envolvidas? Provavelmente dirão que “estão colaborando com as investigações” ou que “a segurança é uma prioridade”. Frases prontas que não colam mais.

A culpa é do firmware desatualizado — ou da mentalidade?

O relatório menciona que 19 dos 22 controladores nas cidades afetadas rodavam firmware suscetível à falha CVE-2017-16740, uma vulnerabilidade de buffer overflow com pontuação CVSS de 8.6. A Rockwell corrigiu isso em 2017, mas os dispositivos continuaram expostos. A própria Forescout admite que a exploração exige que o Modbus TCP esteja habilitado, o que não pôde ser verificado. Mas a questão central não é essa. É a cultura de conectar tudo à internet sem pensar nas consequências.

Controladores como o MicroLogix 1400 (50% dos resultados) e o MicroLogix 1100 (8%) são usados em sistemas de água, energia e manufatura. Quando estão online sem proteção, não é só a operação que fica vulnerável — são os dados de consumo, os padrões de uso e, em última instância, a privacidade dos cidadãos. Um invasor que consegue alterar o comportamento de uma estação de tratamento de água pode, por exemplo, mascarar um despejo de contaminantes, gerar contas falsas ou até usar o acesso como trampolim para redes corporativas cheias de dados pessoais.

Infraestrutura exposta: o elo perdido com o golpe do PIX

Você pode estar se perguntando: “Eduardo, o que um ataque a PLCs nos EUA tem a ver com o golpe do PIX que quase me fez perder R$ 2.000 ontem?”. A resposta é mais direta do que parece. Ambos são frutos da mesma lógica perversa: sistemas mal configurados e dados vazados são o combustível para crimes digitais. Quando um serviço público é comprometido, informações de cadastro, endereços, números de telefone e até dados bancários podem ser expostos. Esses dados alimentam listas que criminosos usam para aplicar golpes direcionados, como a falsa central de atendimento do banco ou o falso boleto.

Pense no seguinte cenário: um atacante invade o sistema de água da sua cidade. Ele não quer só desligar bombas; ele quer acessar o banco de dados de clientes. Lá encontra seu nome, CPF, endereço e talvez até o número da sua conta de água — que muitas vezes está vinculada ao seu banco. Com isso, ele pode ligar para você, se passar por um funcionário da concessionária e pedir que você faça um PIX para “regularizar um débito”. O golpe é tão convincente porque ele tem informações reais e verificáveis.

Como os dados vazados viram armadilhas financeiras

O golpe do PIX não depende só de engenharia social. Ele se sofistica com dados vazados. Aqui está o passo a passo:

• Coleta inicial: O criminoso obtém dados de um vazamento — pode ser de uma concessionária, de um site de compras ou de uma rede social.
• Enriquecimento: Ele cruza essas informações com outras bases públicas ou compradas na dark web, montando um perfil completo da vítima.
• Abordagem personalizada: Liga, manda SMS ou WhatsApp, citando detalhes que só um conhecido teria. “Seu João, aqui é da Sabesp, sua conta venceu e o sistema está fora do ar, precisamos que o senhor faça um PIX temporário para não cortarmos a água.”
• Urgência e medo: O golpista cria uma situação de emergência — corte iminente, multa, processo. A vítima, com medo, faz a transferência.

Esse ciclo só existe porque empresas e órgãos públicos falham em proteger nossos dados. O ataque às cidades americanas é um alerta: se sistemas tão críticos estão expostos, imagine quantos dados de consumidores já não vazaram sem que ninguém saiba. A Rockwell descontinuou o MicroLogix 1100 em 2022, mas ele ainda está lá, online, como uma porta aberta. E as empresas de saneamento? Não se pronunciam sobre quantos clientes tiveram dados acessados.

A falsa sensação de segurança e a responsabilidade que ninguém assume

O FBI recomenda “autenticação forte, atualizações e registro de logs para modems celulares”. Ótimo. Mas isso é o básico do básico. O fato de mais de 70% dos controladores expostos nos EUA estarem em redes de grandes operadoras móveis mostra que a cadeia de responsabilidade é falha. A operadora aluga o link, o integrador instala o equipamento, a concessionária opera — e ninguém verifica se a porta 44818 está aberta para o mundo.

Enquanto isso, o cidadão comum acha que seus dados estão seguros porque “nunca aconteceu nada”. Ledo engano. A Forescout registrou uma série histórica que caiu para 4.169 em junho de 2026, uma redução de 47% desde março de 2020. Mas em agosto já eram 4.407 novamente. Essa gangorra mostra que a conscientização não é linear. Basta um novo projeto, uma pressa, um descuido, e lá estão os dispositivos expostos outra vez.

E os dados? Esses não têm volta. Uma vez vazados, circulam para sempre. Você pode trocar senhas, cancelar cartões, mas seu CPF, seu histórico de consumo, seu endereço — isso fica. E é exatamente isso que alimenta o golpe do PIX amanhã, o golpe do falso sequestro depois, e assim por diante.

O que você pode fazer agora para se proteger

Não adianta esperar que as empresas mudem da noite para o dia. A postura cética que eu adoto aqui não é pessimismo: é realismo. Enquanto as organizações não forem verdadeiramente responsabilizadas — com multas pesadas e transparência obrigatória —, a exposição de dados continuará. Cabe a você assumir o controle da sua própria identidade digital.

Algumas medidas práticas:

• Desconfie de contatos não solicitados: Se alguém ligar pedindo PIX ou transferência, desligue e ligue você mesmo para o canal oficial da empresa.
• Verifique se seus dados já vazaram: Use ferramentas de monitoramento para saber se seu e-mail, CPF ou telefone estão em listas expostas.
• Ative alertas de transações: A maioria dos bancos permite notificações em tempo real para cada movimentação.
• Não reutilize senhas: Um vazamento em um site pode comprometer todas as suas contas se a senha for a mesma.
• Exija transparência: Questione as empresas sobre como tratam seus dados. Se a resposta for vaga, desconfie.

Mas nada substitui o monitoramento contínuo. Saber que seus dados estão circulando antes que um golpista os use é a diferença entre ser vítima e se antecipar. É aí que a Kzarka entra.

FAQ: Perguntas frequentes sobre vazamentos de dados e golpes financeiros

1. Como um ataque a sistemas de água pode afetar meus dados pessoais?

Sistemas de infraestrutura crítica geralmente armazenam dados de clientes, como nomes, endereços e informações de pagamento. Um invasor que acessa a rede pode roubar esses bancos de dados e usá-los para golpes direcionados.

2. O que é um PLC e por que sua exposição é perigosa?

PLC é um Controlador Lógico Programável, usado para automatizar máquinas e processos industriais. Se estiver exposto na internet sem proteção, um atacante pode alterar seu funcionamento ou usá-lo como porta de entrada para redes inteiras.

3. Como saber se meus dados vazaram em algum ataque?

Você pode usar serviços de monitoramento de identidade digital, como o oferecido pela Kzarka, que rastreiam a dark web e outras fontes em busca de suas informações pessoais.

4. O golpe do PIX está relacionado a vazamentos de dados?

Sim. Muitos golpistas obtêm dados pessoais de vazamentos para tornar suas abordagens mais convincentes. Com informações reais, eles ganham a confiança da vítima e a induzem a fazer transferências.

5. As empresas são obrigadas a avisar quando há um vazamento de dados?

No Brasil, a Lei Geral de Proteção de Dados (LGPD) exige que empresas notifiquem a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares em caso de incidentes de segurança que possam causar risco ou dano. Mas muitas vezes a comunicação é atrasada ou omissa.

6. O que fazer se eu cair em um golpe do PIX?

Entre em contato imediatamente com seu banco e peça o bloqueio da transação. Registre um boletim de ocorrência e, se possível, reúna provas como prints de conversas e comprovantes. O Banco Central possui um mecanismo de devolução para casos de fraude.

A exposição de mais de 4.400 PLCs é um lembrete brutal de que a segurança digital é uma corrente com elos muito frágeis. Enquanto governos e empresas não levarem a sério a proteção de dados, a responsabilidade recai sobre nós. Não espere o próximo vazamento para agir. Acesse agora Kzarka.com e descubra se seus dados já estão comprometidos. Monitore sua identidade digital e durma tranquilo sabendo que você está um passo à frente dos criminosos.