O maior incidente de segurança em tecnologia operacional (TO) de 2026 ocorreu ao longo de seis semanas nesta primavera. Entre março e meados de abril, hackers iranianos atacaram sistematicamente quase 4.000 PLCs da Rockwell Automation e da Allen-Bradley expostos à internet em infraestruturas críticas dos EUA. A campanha levou a um alerta federal conjunto da CISA, do FBI, da NSA, do DOE, da EPA e do Comando Cibernético dos EUA em 7 de abril, seguido por um relatório de exposição da Censys em 10 de abril.

Engenheiros que utilizam sistemas legados da Rockwell (SLC 500, PLC-5, MicroLogix mais antigos) devem ficar atentos. Este ataque foi planejado durante anos.

O que aconteceu: uma cronologia da campanha de 2026

Março de 2026. A atividade de ameaças iranianas contra a infraestrutura crítica dos EUA aumentou drasticamente. Os atacantes, alinhados a dois grupos principais, o CyberAv3ngers, ligado à Guarda Revolucionária Islâmica (IRGC), e o Handala, ligado ao Ministério da Inteligência e Segurança (MOIS), iniciaram um reconhecimento sistemático de dispositivos de controle industrial conectados à internet. Seu alvo eram os PLCs da Rockwell Automation expostos na porta 44818 via EtherNet/IP.

7 de abril. A CISA, o FBI, a NSA, o DOE, a EPA e o Comando Cibernético dos EUA emitiram um alerta conjunto confirmando que invasores extraíram arquivos de projetos de dispositivos comprometidos, manipularam telas HMI e SCADA e implantaram malware de limpeza de dados. Pelo menos uma estação de tratamento de água foi forçada a operar manualmente após perder o controle do CLP.

Em 10 de abril, a Censys publicou dados de exposição mostrando 5.219 hosts globais respondendo como dispositivos Rockwell ou Allen-Bradley acessíveis via EtherNet/IP, aproximadamente 3.900 deles nos Estados Unidos. A grande maioria estava simplesmente conectada à internet pública com as configurações padrão.

Os atacantes não estavam explorando vulnerabilidades zero-day. Eles usaram o Shodan e o Censys para encontrar PLCs da marca Rockwell na internet pública e, em seguida, tentaram explorar credenciais padrão e comandos EtherNet/IP diretamente.

Quais dispositivos foram alvos?

Qualquer PLC da Rockwell Automation ou Allen-Bradley com conectividade Ethernet exposta à internet pública era um alvo viável. Os modelos afetados incluíam ControlLogix (série 1756, o carro-chefe amplamente implantado em infraestrutura crítica), CompactLogix (séries 1769, 5370, 5380, comuns em indústrias de médio porte e concessionárias de serviços públicos), MicroLogix (séries 1100, 1400, mais antigas e amplamente utilizadas em instalações menores e locais remotos), SLC 500 com Ethernet (projetado na década de 1990 sem recursos de segurança significativos) e PLC-5 com Ethernet (um projeto da década de 1980 ainda em operação nos setores de petróleo e gás, água e indústria pesada).

Os atacantes não precisavam de recursos avançados. O EtherNet/IP implementa autenticação mínima por padrão, e muitos sites nunca haviam alterado as senhas padrão, desativado serviços CIP não utilizados ou adicionado um firewall entre seus PLCs e a rede da operadora.

Por que isso é importante para usuários de PLCs legados?

A campanha Rockwell 2026 expõe uma vulnerabilidade estrutural negligenciada por duas décadas. Centenas, possivelmente milhares, de sistemas SLC 500 e MicroLogix permanecem em operação em estações de tratamento de água, usinas de energia e fábricas nos Estados Unidos. Esses controladores foram projetados antes mesmo de se imaginar PLCs conectados à internet. Eles não possuem autenticação criptográfica, inicialização segura, controle de acesso baseado em funções e, frequentemente, nenhum mecanismo de atualização de firmware.

Não é possível aplicar patches em um PLC-5. Não existe nenhuma atualização que adicione criptografia à ponte serial-para-Ethernet de um SLC 500. Os dispositivos são o que são.

Isso cria um prazo final rígido. A Diretiva NIS2 da UE exige conformidade até outubro de 2026, com multas substanciais, e abrange explicitamente sistemas de tecnologia operacional (OT). Embora os EUA não possuam uma regulamentação equivalente única, as diretrizes específicas do setor da TSA, do Departamento de Energia (DOE) e da EPA estão caminhando na mesma direção. Instalações que utilizam PLCs legados expostos à internet estão cada vez mais em desacordo com as regulamentações, e isso já era verdade antes mesmo de grupos APT iranianos começarem a coletar dados de identificação de seus controladores.

O comunicado conjunto de 7 de abril deixa claro que as agências federais agora consideram esses dispositivos um vetor ativo de segurança nacional.

O que fazer se você estiver usando PLCs Rockwell legados

Etapa 1: Audite todos os PLCs da sua rede. Use o Shodan, Censys ou ferramentas de descoberta de ativos de OT (Dragos, Nozomi, Claroty) para identificar todos os dispositivos Rockwell em seus intervalos de IP públicos. Na varredura do Censys, a maioria dos dispositivos expostos não estava exposta intencionalmente. Eles estavam atrás de firewalls mal configurados ou conectados para solução de problemas remotos e nunca foram desconectados.

Etapa 2: Remova os PLCs da internet pública. Coloque todos os PLCs Rockwell acessíveis pela porta 44818 atrás de um firewall devidamente configurado. Para acesso remoto, use um modem celular com VPN, e não uma conexão Ethernet direta. Isole os controladores críticos da internet sempre que possível.

Etapa 3: Atualize sempre que possível. Os controladores mais recentes das séries CompactLogix 5380 e 5480 oferecem autenticação de slot confiável, extensões de segurança CIP e verificação de integridade do firmware.

Etapa 4: Para plataformas verdadeiramente legadas, como SLC 500 e PLC-5, aceite que não é possível aplicar patches. Você tem três opções. A segmentação de rede com gateways unidirecionais utiliza diodos de dados ou dispositivos de gateway unidirecionais para permitir o monitoramento do tráfego de saída, impedindo que quaisquer comandos de entrada cheguem ao controlador. A migração para uma plataforma atual utiliza os programas de migração da Rockwell para SLC 500 para CompactLogix e PLC-5 para ControlLogix, que são consolidados, mas exigem planejamento de tempo de inatividade. O reforço da segurança no local é possível se a migração não for imediata: altere todas as senhas padrão, desative os serviços EtherNet/IP não utilizados, restrinja o acesso por meio de ACLs e monitore o tráfego EtherNet/IP em busca de comandos anômalos.

Nenhuma dessas opções é perfeita. Mas qualquer uma é melhor do que ter um grupo APT iraniano extraindo os arquivos do seu projeto e sobrescrevendo o firmware do controlador às 2 da manhã de um sábado.

A Perspectiva das Peças de Reposição

Com as instalações se esforçando para proteger ou migrar sistemas Rockwell obsoletos, a demanda por módulos sobressalentes ControlLogix e CompactLogix (séries 1756 e 1769) para substituição de unidades potencialmente comprometidas, dispositivos de segurança Ethernet (dispositivos que adicionam autenticação e inspeção de tráfego sem alterações no firmware do controlador) e kits de migração de sistemas antigos para atuais (adaptadores, chassis e fontes de alimentação para conversões de SLC 500 para CompactLogix) está aumentando. Além disso, há módulos Allen-Bradley, difíceis de encontrar, são ideais para instalações que precisam manter peças sobressalentes de sistemas antigos durante migrações que levam vários anos.

O estoque da TZTechio, que abrange desde os atuais CompactLogix da série 5380 até os antigos sistemas de E/S 1746 e 1771, cobre essa gama. Quando uma estação de tratamento de água precisa de um 1756-L73 até quarta-feira, a disponibilidade é crucial.

Contexto mais amplo: os ataques de OT estão se acelerando.

A campanha Rockwell de 2026 não ocorreu isoladamente. É o mais recente de uma série de incidentes de sobrecarga de trabalho que se intensificaram desde 2023.

Os ataques à Unitronics (2023-2024) foram ataques ligados ao Irã contra PLCs da Unitronics, fabricados em Israel, em empresas de saneamento básico nos EUA, utilizando a mesma estratégia de varreduras com o Shodan, credenciais padrão e tomada de controle. O ataque à Stryker, que afetou 80.000 dispositivos (março de 2026), ocorreu semanas antes da campanha contra a Rockwell e destruiu 80.000 endpoints da infraestrutura de dispositivos médicos. Embora não tenha sido um incidente de Tecnologia Operacional (TO), demonstrou que frotas críticas para a segurança estão na mira. O prazo do NIS2 (outubro de 2026) está fazendo com que os estados-membros da UE se mobilizem para atender aos requisitos de notificação obrigatória de incidentes, segurança da cadeia de suprimentos e gerenciamento de riscos de TO. A pressão regulatória nos EUA virá em seguida, em 2027.

Os atacantes descobriram que os sistemas de controle industrial são o ponto fraco da infraestrutura crítica. A campanha Rockwell de 2026 prova que não são necessários recursos de um Estado-nação para comprometer a maioria dos PLCs. Basta uma consulta no Shodan e a disposição para testar senhas padrão.

Para quem é responsável por um sistema Rockwell legado, o tempo de planejamento acabou. Audite seus controladores. Desconecte-os da internet. Se não for possível protegê-los, migre-os antes que alguém o faça por você.

---

*Fontes: CISA/FBI/NSA/DOE/EPA/Comando Cibernético dos EUA - Assessoria Conjunta, 7 de abril de 2026; Relatório de Pesquisa da Censys, 10 de abril de 2026; BleepingComputer; CNN; Defense One. Este artigo tem caráter meramente informativo e não constitui aconselhamento de segurança cibernética ou conformidade. Consulte profissionais qualificados para o seu ambiente específico.*