ATG expostos na Internet uma ameaça crítica à segurança operacional e ambiental

Um novo alerta coordenado por agências federais dos Estados Unidos apontou um risco tangível e urgente: Mais de 900 sistemas Automatic Tank Gauge (ATG) expostos na Internet nos EUA. EUA. — e mais de 1.000 a nível global, de acordo com o monitoramento público — estão acessíveis e, segundo o aviso, já são alvo de ataques que permitem executar comandos remotos e modificar seu comportamento. O aviso conjunto pode ser consultado no documento oficial divulgado pelas agências: https://www.ic3.gov/CSA/2026/260602.pdf.

Os ATG são equipamentos que midem níveis de combustível e químicos em tanques, e combinam funções de inventário, detecção de fugas e cumprimento ambiental. Pela sua presença em estações de serviço, plantas industriais e outras instalações críticas, a sua alteração tem um efeito directo sobre a segurança operacional e a integridade ambiental. O monitoramento público de Shadowserver mostra a magnitude do fenômeno e permite visualizar as direções expostas: https://dashboard.shadowserver.org/.../atg.

Os vetores de exploração observados são os que, infelizmente, se repetem em equipamentos industriais: senhas por defeito ou hardcoded, omissão de autenticação, injeções SQL, execução de comandos do sistema operacional e falhas de escalagem de privilégios. Com essas vias, um atacante pode desativar alarmes, manipular leituras, ou forçar ajustes que danificam sensores e bombas. Uma mudança na configuração pode converter uma função de segurança em uma bomba de tempo ambiental ou um vetor de fraude.

Embora alguns relatos jornalísticos tenham ligado incidentes prévios com atores iranianos, as agências federais que emitiram o alerta enfatizam que a autoria não está conclusivamente atribuída em todos os casos; a prioridade operacional é a mitigação imediata. A história recente demonstra que os atacantes não precisam de alta sofisticação para causar danos: bastam configurações inseguras e acessos diretos expostos à Internet. Um contexto geral sobre riscos em sistemas de controlo industrial pode ser consultado nos recursos da CISA: https://www.cisa.gov/industrial-control-systems.

Para as organizações que operam o ATG e equipamentos semelhantes, a ação imediata deve ser clara e prioritária: identificar e isolar os dispositivos expostos, retirar o acesso direto da Internet e colocá-los atrás de controles de borda aceitos (firewalls, VPNs ou listas de controle de acesso), e mudar credenciais por defeito. A desconexão temporal do acesso público é uma medida preventiva de baixo risco e alto impacto enquanto o estado da equipe é validado.

Para além dessa reação inicial, é imprescindível aplicar adesivos e atualizações do fabricante, ativar registros e alertas para detectar mudanças não autorizadas, e implantar autenticação forte (idealmente multifator quando possível). Os testes de integridade de sensores —verificar que as leituras físicas correspondam aos logs do sistema — devem ser parte da verificação pós-incidente para descartar manipulações que ocultem vazamentos ou falhas mecânicas.

Nem tudo cabe aos operadores: os fabricantes e fornecedores do ATG têm responsabilidade direta em remover credenciais incorporadas em firmware, em oferecer atualizações firmes e documentar configurações seguras por defeito. Do ponto de vista regulamentar e de gestão de risco, exigir inventários precisos de ativos e continuidade na divulgação de vulnerabilidades ajudará a reduzir o número de dispositivos inseguros ligados acidentalmente à Internet.

A visibilidade é um fator crítico. Ferramentas de monitoramento da internet e relatórios como os de Shadowserver ajudam a localizar dispositivos expostos, mas as empresas devem integrar digitalizações internas regulares, simulações de ataque e exercícios de resposta que incluam a coordenação com autoridades (CISA/FBI) e com fornecedores. Reportar intrusões e anomalias às autoridades facilita a resposta coletiva e a rastreabilidade de campanhas maliciosas.

Em termos práticos para equipamentos de segurança: identifiquem IPs públicos com serviço ATG, auditem configurações, restaurem senhas únicas e seguras, coloquem regras rigorosas de acesso de rede e validen a integridade das funções de segurança física. Para os responsáveis pela planta, verifiquem manualmente que os detectores de fuga e as válvulas não dependem exclusivamente de sinais remotos vulneráveis e que exista redundância física nos alarmes.

Este episódio é um lembrete de que a digitalização do controle industrial aumenta a superfície de ataque e que a exposição inadvertida à Internet traduz fraquezas administrativas em riscos concretos. A urgência não é apenas tecnológica: é operacional e ambiental, e exige colaboração entre operadores, fornecedores e autoridades para fechar a janela de oportunidade dos atacantes antes de um dano maior ocorrer.