Agências de segurança dos Estados Unidos alertaram para uma ameaça ativa contra controladores lógicos programáveis (PLCs) da família Siemens S7. São afetadas organizações que mantêm esses equipamentos expostos à internet, com software desatualizado, credenciais fracas ou acesso remoto de terceiros mal controlado. A ação prioritária é retirar os PLCs da exposição pública, confirmar o inventário e investigar operações S7comm inesperadas antes de qualquer alteração de processo.
O alerta conjunto foi publicado em 19 de agosto de 2026 por CISA, NSA, FBI, Departamento de Energia e Agência de Proteção Ambiental. O documento não apresenta uma atribuição pública a um grupo específico nem descreve um único incidente em uma empresa identificada. Ele descreve atividade de reconhecimento e desenvolvimento de capacidade contra instalações que usam controladores Siemens S7, com potencial para evoluir de leitura de dados para alterações operacionais.
Essa distinção muda a decisão defensiva. A ausência de um nome de grupo ou de uma interrupção confirmada não reduz a urgência para quem administra tecnologia operacional. Um PLC acessível pela internet pode ser descoberto antes de o time de segurança saber que ele existe. Quando o dispositivo controla produção, água, energia, tratamento químico ou sistemas de segurança, a prioridade deve ser reduzir a superfície de ataque sem interromper processos de forma desordenada.
O que o alerta descreve
Segundo o aviso da CISA, os operadores estão usando serviços de varredura da internet para localizar PLCs Siemens expostos ou insuficientemente segmentados. A atividade inclui o uso de scripts gerados com auxílio de inteligência artificial, apresentados como ferramentas legítimas de monitoramento. A combinação reduz o esforço necessário para adaptar ferramentas a modelos e ambientes diferentes.
O alerta cita bibliotecas abertas como snap7.dll e python-snap7. Com elas, uma ferramenta pode imitar um cliente de engenharia ou monitoramento e interagir com memória, dados de configuração e programas de lógica ladder por meio do protocolo S7comm. Para uma equipe defensiva, o ponto central não é detectar a palavra “IA” no ambiente, mas identificar o comportamento: conexões anormais, leitura de blocos de dados e operações de escrita fora das janelas autorizadas.
A avaliação oficial é de que a atividade pode representar reconhecimento persistente, teste de capacidade e preparação para efeitos operacionais futuros. Ler a configuração de um controlador ajuda o invasor a entender o processo antes de tentar modificar parâmetros, sequências ou intertravamentos. Por isso, o monitoramento deve abranger tanto mudanças efetivas quanto tentativas de acesso que não chegaram a alterar o equipamento.
Quem precisa agir primeiro
A exposição não está limitada a um setor. O comunicado aponta como alvos mais relevantes instalações de manufatura crítica, energia, água e saneamento, química, alimentos e agricultura e instalações comerciais. Empresas menores também podem estar em risco quando dependem de integradores, fornecedores de manutenção ou estações de trabalho remotas que foram conectadas diretamente à rede de controle.
O inventário precisa incluir modelo do PLC, versão de firmware, endereço de rede, segmento, função no processo, estação de engenharia associada e caminho de acesso remoto. Registros de ativos de TI raramente contêm todos esses dados. A equipe deve cruzar documentação de automação, regras de firewall, tabelas de endereçamento, projetos do TIA Portal ou STEP 7 e contratos de suporte.
Comece pelos equipamentos que aparecem em varreduras externas, pelos que possuem encaminhamento de portas e pelos acessíveis a partir de redes de fornecedores. A prioridade não é substituir imediatamente todo o parque instalado. É impedir que um controlador crítico continue sendo alcançável por qualquer origem enquanto a organização avalia atualização, compatibilidade e impacto operacional.
Procedimento de contenção
| Prioridade | Ação | Resultado esperado |
|---|---|---|
| P1 | Bloquear acesso direto da internet e restringir S7comm a estações de engenharia autorizadas. | Redução imediata da superfície de ataque. |
| P1 | Preservar registros de firewall, VPN, IDS, estações de engenharia e controladores. | Condições para investigar reconhecimento e abuso. |
| P1 | Suspender credenciais padrão ou compartilhadas e revisar acessos de fornecedores. | Menor risco de tomada de conta. |
| P2 | Aplicar correções e atualizações compatíveis com o processo, com validação do integrador. | Tratamento de falhas conhecidas sem improviso. |
| P2 | Criar alertas para escritas fora da janela, novas origens e mudanças na lógica. | Detecção de manipulação ou preparação. |
Antes de cortar uma conexão, confirme a dependência operacional. Acesso remoto pode ser necessário para manter uma estação de tratamento ou uma linha de produção, mas isso não exige exposição pública do PLC. Use uma rede intermediária, autenticação forte, autorização temporária e registro de sessão. A estação de engenharia deve alcançar apenas os controladores necessários, e o caminho deve ser administrado por uma equipe que conheça o processo.
O que procurar nos registros
O alerta recomenda caçar conexões S7comm originadas de estações que normalmente não fazem engenharia. Procure novos endereços de origem, acessos sequenciais a vários controladores, consultas fora do horário de manutenção e operações de escrita em blocos de dados. Também vale comparar o projeto aprovado com a lógica carregada no equipamento e verificar se houve mudança de parâmetros, relógio, configuração ou firmware.
Importações ou execuções de bibliotecas relacionadas a snap7 em servidores, estações de engenharia ou notebooks de fornecedores merecem triagem. Isso não é prova isolada de comprometimento: bibliotecas abertas podem ter usos legítimos. O sinal ganha peso quando aparece junto de varredura, credenciais recém-criadas, conexões fora do caminho habitual ou tentativa de leitura de vários controladores.
Não faça uma reinicialização indiscriminada para “limpar” o problema. Em OT, reiniciar ou restaurar um PLC sem preservar evidências pode apagar a sequência de eventos e provocar uma interrupção insegura. Se houver indício de escrita não autorizada, envolva o responsável pelo processo, compare o estado observado com os parâmetros seguros e aplique o plano de resposta a incidentes industriais.
Decisão para a liderança
A direção deve tratar a exposição de PLC como risco operacional, não apenas como pendência de correção. O conselho prático divulgado pelas agências é direto: inventariar, corrigir, isolar, fortalecer controles de acesso, monitorar atividade e verificar a integridade dos serviços, protocolos e lógica ladder.
Em até um ciclo operacional, a organização deve conseguir responder quais PLCs estão expostos, quem pode acessá-los, quais fornecedores possuem conexão ativa, quando ocorreu a última mudança autorizada e quais registros estão disponíveis. Se alguma resposta for desconhecida, o ativo deve ser classificado como de alta prioridade até que a incerteza seja resolvida.
O risco também deve entrar no plano de continuidade. Defina como recuperar projeto e configuração confiáveis, como validar uma lógica restaurada, quem autoriza uma mudança emergencial e como operar manualmente se o controlador precisar ser isolado. Backups úteis são aqueles cuja integridade e procedimento de restauração foram testados, não apenas arquivos armazenados em um compartilhamento acessível pela mesma rede.
Para contexto sobre fundamentos de proteção, consulte o guia Segurança digital: o que é e como se proteger. A análise das maiores ameaças digitais de 2026 também ajuda a posicionar o caso dentro de uma estratégia mais ampla, mas não substitui a verificação específica da rede de controle.
Fontes
CISA — Defending Against an Active Threat to Siemens S7 Series PLCs.
NSA — comunicado sobre a ameaça ativa contra controladores lógicos programáveis.