Segurança para Saneamento e Água: protegendo o SCADA do tratamento ao abastecimento

Por que saneamento é um alvo de alto valor e baixa tolerância a falha

Saneamento básico é, ao mesmo tempo, um serviço essencial de saúde pública e uma operação industrial complexa. Uma operadora de água e esgoto não administra apenas tubulações: ela opera estações de tratamento (ETA e ETE), elevatórias, reservatórios, redes de distribuição e quilômetros de telemetria que vigiam pressão, vazão, nível de reservatório e parâmetros de qualidade. Todo esse processo físico é comandado por sistemas de automação industrial, genericamente chamados de OT (Operational Technology), com SCADA, CLPs (controladores lógicos programáveis) e IHMs (interfaces homem-máquina) no centro da operação.

O que torna o setor um alvo de alto valor é justamente o impacto: ao contrário de uma empresa puramente digital, em saneamento um comprometimento bem-sucedido não termina em uma tela bloqueada, termina em consequência física. Um atacante que ganhe controle sobre a dosagem de produtos químicos no tratamento, sobre o acionamento de bombas ou sobre as válvulas de distribuição passa a deter um poder desproporcional sobre a qualidade da água e sobre o abastecimento de uma região. Essa é a diferença entre um incidente de TI e um incidente de infraestrutura crítica.

A baixa tolerância a falha vem da natureza do serviço. Não existe 'modo degradado aceitável' para água potável: ou ela está dentro dos parâmetros sanitários, ou ela representa risco à população. Isso eleva o custo de qualquer interrupção e de qualquer dúvida sobre a integridade do processo. Uma única suspeita fundamentada de que a dosagem foi manipulada pode obrigar a operadora a interromper a distribuição, emitir alertas à população e acionar a vigilância sanitária, com impacto reputacional e regulatório imediato.

A herança técnica que amplia a exposição

Boa parte do parque de automação do saneamento brasileiro foi construído ao longo de décadas, com equipamentos de ciclo de vida longo, protocolos industriais legados (como Modbus e DNP3, que nasceram sem autenticação ou criptografia) e estações de engenharia rodando sistemas operacionais antigos que não podem ser simplesmente atualizados sem risco de parar a operação. Some-se a isso a convergência crescente entre TI e OT — telemetria que sobe para a nuvem, dashboards corporativos que leem dados de processo, fornecedores que acessam remotamente para manutenção — e o resultado é uma superfície de ataque que cresceu mais rápido do que a maturidade de segurança da maioria das operadoras.

As cinco ameaças que mais pesam no saneamento

A Decripte trabalha o setor a partir de um mapa de ameaças concreto, derivado da forma como esses ambientes realmente operam. Não se trata de uma lista genérica de ciberataques, mas dos vetores que, no saneamento, levam de um acesso indevido a uma consequência física ou a uma interrupção de serviço.

Por que o acesso remoto é o calcanhar de Aquiles

De todos esses vetores, o acesso remoto inseguro a OT é o que mais aparece como ponto de entrada inicial. Operadoras de saneamento dependem de fornecedores de automação e integradores que precisam acessar o ambiente para configurar CLPs, ajustar telas de SCADA e resolver falhas. Quando esse acesso é feito por uma VPN com senha compartilhada, sem segundo fator, sem registro de sessão e com rota direta para a rede de automação, basta o vazamento de uma única credencial — por phishing, por reuso de senha, por um notebook de fornecedor comprometido — para que um terceiro chegue ao coração do processo.

A boa notícia é que esse mesmo vetor é altamente endereçável. Não é preciso reconstruir o parque de automação para reduzir drasticamente o risco: controlar como, por quem e a partir de onde se acessa o SCADA já elimina a maior parte do caminho que um atacante percorreria.

Anatomia de um acesso remoto indevido ao SCADA (cenário ilustrativo)

Para tornar o risco tangível, descrevemos a seguir a anatomia típica de um acesso remoto indevido ao SCADA de uma estação de tratamento. Trata-se de um cenário ILUSTRATIVO, construído a partir de padrões reais do setor, e não de um cliente específico. Ele serve para mostrar onde a defesa precisa atuar e em que ordem.

Como o atacante entra

O ponto de partida é quase sempre uma credencial. Um técnico de um fornecedor de automação tem acesso remoto à rede de OT para manutenção. Sua máquina pessoal é comprometida por um malware de roubo de credenciais, ou ele cai em um phishing que captura o usuário e senha da VPN de manutenção. Como essa VPN não exige segundo fator e desemboca diretamente em um segmento que enxerga a estação de engenharia do SCADA, o atacante de posse da credencial já está, em poucos saltos, dentro do ambiente que comanda o tratamento.

O que estava em jogo

Com presença na estação de engenharia, um atacante mal-intencionado teria, em tese, caminho para alterar os set-points de dosagem química, manipular o comando de bombas e válvulas ou simplesmente derrubar a supervisão, forçando a operação manual às cegas. Qualquer uma dessas ações teria potencial de afetar a qualidade da água ou a continuidade do abastecimento. A diferença entre um susto contido e um incidente sanitário está inteiramente na velocidade e na qualidade da detecção e da resposta.

Como a Decripte detecta o que parece normal mas não é

O grande desafio de defender um ambiente OT é que muitas ações maliciosas usam comandos legítimos. Alterar um set-point de dosagem é uma operação normal — o que muda é quem fez, de onde, quando e em que contexto. Por isso o monitoramento de saneamento não pode se limitar a assinaturas de malware: ele precisa entender o comportamento de processo e de acesso.

As camadas de detecção

A Decripte combina visibilidade de rede industrial (inspeção passiva de protocolos como Modbus, DNP3 e OPC para entender comandos e fluxos sem interferir na operação), telemetria de identidade e acesso (quem autenticou, de onde, com qual fator, em qual horário) e correlação com o ambiente de TI (a estação de engenharia que de repente fala com um IP externo, a conta de fornecedor que loga fora da janela de manutenção contratada). O SOC 24x7 cruza esses sinais para distinguir a operação normal de uma ação anômala.

A inspeção passiva é um ponto importante para o setor: em OT, não se pode introduzir latência ou instabilidade na rede que comanda o processo. Por isso a coleta de visibilidade é feita por espelhamento de tráfego e sensores que apenas observam, sem se interpor no caminho dos comandos. Segurança que coloca em risco a disponibilidade do processo não é segurança aceitável em saneamento.

Contenção antes da manipulação: a Resposta a Incidentes no saneamento

Quando o SOC identifica um acesso indevido em curso, a prioridade número um no saneamento é impedir que ele evolua para manipulação de processo. A Resposta a Incidentes da Decripte opera com SLA de contenção de até 1 hora, mas em ambientes OT a contenção precisa ser cirúrgica: derrubar a coisa errada pode causar exatamente a indisponibilidade que se quer evitar.

Conter sem derrubar a operação

A contenção em saneamento é guiada pelo princípio de preservar a operação segura do processo físico enquanto se corta o acesso do atacante. Isso significa isolar o segmento ou a credencial comprometida, bloquear a rota de acesso remoto usada, e, quando necessário, colocar a estação em um modo de operação manual controlado e seguro — sempre em coordenação com a equipe de operação da planta, que conhece os limites do processo. A decisão de qualquer ação que toque o campo é tomada em conjunto, nunca de forma unilateral pelo time de cibersegurança.

Em paralelo à contenção, o time de IR inicia a coleta de evidências forenses — logs de acesso, sessões remotas, histórico de comandos, imagens das estações comprometidas — para entender o escopo real do incidente, identificar até onde o atacante chegou e garantir que a erradicação seja completa. Em saneamento, essa investigação responde a uma pergunta crítica para a saúde pública: houve ou não alteração de processo? A resposta a essa pergunta orienta tudo o que vem depois, inclusive a comunicação à vigilância sanitária e à população, se for o caso.

Blindagem: segmentação, MFA em OT e monitoramento

Conter um incidente é necessário, mas o objetivo de longo prazo é tornar o acesso indevido difícil de acontecer e fácil de detectar. A blindagem que a Decripte estrutura no saneamento se apoia em três frentes que, juntas, atacam o vetor mais comum do setor: o acesso remoto inseguro a OT.

Segmentação entre TI e OT

A primeira barreira é separar o mundo corporativo do mundo de automação. Em vez de uma rede plana onde um notebook comprometido no escritório enxerga o CLP da estação, cria-se uma arquitetura em zonas e condutos, no espírito da norma IEC 62443: a rede de OT fica em zonas isoladas, com um perímetro definido onde todo o tráfego entre TI e OT passa por inspeção e controle. A telemetria sobe para a TI por caminhos controlados e unidirecionais sempre que possível, de modo que dados de processo possam ser lidos sem abrir um caminho de comando de volta para o campo.

MFA e acesso remoto controlado em OT

A segunda barreira ataca diretamente o vetor do cenário ilustrativo. Todo acesso à rede de automação — de funcionário ou de fornecedor — passa a exigir autenticação multifator e a ser mediado por um jump host com gravação de sessão. O acesso de fornecedor deixa de ser permanente e passa a ser just-in-time: liberado apenas durante a janela de manutenção contratada, com aprovação, e revogado automaticamente ao fim. Com isso, uma credencial vazada sozinha deixa de ser suficiente para chegar ao SCADA.

Monitoramento contínuo como rede de segurança

A terceira barreira é o SOC 24x7 já descrito, que assume que nenhuma prevenção é perfeita e garante que, se um acesso indevido ainda acontecer, ele seja visto e contido na janela em que o atacante ainda está reconhecendo o ambiente. Segmentação, MFA e monitoramento não são alternativas entre si: são camadas que se reforçam. A segmentação reduz o caminho, o MFA fecha a porta mais comum, e o monitoramento garante a detecção quando algo escapa das duas primeiras.

Validação ofensiva: Pentest do ambiente OT

A única forma de saber se as barreiras realmente funcionam é testá-las como um atacante faria. O Pentest da Decripte para saneamento valida, de forma controlada e segura, se a segmentação entre TI e OT resiste, se o acesso remoto pode ser burlado, se as credenciais de fornecedor estão protegidas e se um movimento lateral a partir da rede corporativa conseguiria alcançar a estação de engenharia do SCADA.

O resultado do Pentest é um retrato realista do caminho que um atacante percorreria e da eficácia das defesas existentes, traduzido em recomendações priorizadas por risco. Para uma operadora, esse exercício é também um instrumento de governança: demonstra à diretoria, aos órgãos reguladores e às agências de saneamento que a segurança da infraestrutura crítica foi verificada de forma independente, e não apenas presumida.

Conformidade, LGPD e resiliência operacional

Saneamento lida com duas dimensões de conformidade ao mesmo tempo. A primeira é a proteção de dados: operadoras tratam dados pessoais de milhões de consumidores (cadastro, consumo, faturamento, cobrança), o que as coloca plenamente sob a Lei Geral de Proteção de Dados (LGPD) e sob a fiscalização da ANPD. Um vazamento desses dados ou um incidente que afete dados pessoais aciona obrigações de comunicação ao titular e à ANPD, além do risco de sanções administrativas.

A segunda dimensão é a segurança da infraestrutura crítica e do processo industrial, onde a referência técnica é a família de normas IEC 62443, voltada à segurança de sistemas de automação e controle industrial. A Decripte estrutura a operadora para evidenciar, com políticas, controles e trilhas de auditoria, que o ambiente de OT é gerido segundo boas práticas reconhecidas — algo cada vez mais cobrado por agências reguladoras de saneamento, por contratos de concessão e por processos de due diligence.

Resiliência: sobreviver ao ransomware sem parar a cidade

O ransomware em operadoras merece atenção própria porque ataca a continuidade do serviço de forma transversal: ele pode criptografar servidores de supervisão, telemetria, faturamento e ERP ao mesmo tempo. A resiliência operacional que a Decripte ajuda a construir inclui backups isolados e testados, segregação que impede a propagação do corporativo para a automação, e planos de contingência que permitam à planta operar em modo manual seguro caso a supervisão seja perdida. A pergunta-chave de resiliência no saneamento é simples e dura: se tudo na TI cair agora, a operadora consegue manter a água potável e o abastecimento de pé? A segurança existe para que a resposta seja sim.

Por onde começar: diagnóstico e construção em camadas

A jornada de segurança de uma operadora de saneamento não começa com um grande projeto de uma vez. Começa com visibilidade. A maioria das operadoras subestima quantos caminhos existem hoje entre o mundo corporativo e o SCADA, quantos acessos remotos de fornecedor estão ativos e quais ativos de OT sequer estão inventariados. O primeiro passo é enxergar a realidade.

A partir do diagnóstico, a construção é em camadas e priorizada por risco: primeiro fecham-se as portas mais óbvias (acesso remoto inseguro, segmentação ausente, MFA faltante), depois instala-se a visibilidade contínua via SOC 24x7, valida-se tudo com Pentest e, em paralelo, organiza-se a conformidade e a resiliência. Cada camada já reduz risco por si só, o que permite à operadora demonstrar progresso desde o início, sem precisar esperar o programa inteiro estar pronto para colher benefício.

Anatomia de um acesso remoto indevido ao SCADA de uma ETA (cenário ilustrativo)

Como a Decripte responde a um incidente em uma operadora de saneamento

A Resposta a Incidentes da Decripte no saneamento é desenhada em torno de uma prioridade inegociável: impedir que um acesso indevido vire consequência física antes de qualquer outra coisa. Opera com SLA de contenção de até 1 hora e sempre em coordenação com a equipe de operação da planta.

1. Detecção e triagem: o SOC 24x7 identifica o sinal anômalo (acesso sem MFA, fora de janela, comando incomum no SCADA, reconhecimento na rede de OT) e classifica a severidade considerando o risco ao processo físico, não apenas a TI.
2. Acionamento e coordenação: o time de IR é mobilizado e se conecta imediatamente à equipe de operação da estação, porque nenhuma ação que toque o processo é tomada unilateralmente pela cibersegurança.
3. Contenção cirúrgica: isolar a credencial e o segmento comprometidos, bloquear a rota de acesso remoto usada e, se necessário, levar a planta a um modo manual seguro — sempre preservando a operação segura do tratamento e do abastecimento.
4. Preservação de evidências: coletar logs de acesso, sessões remotas, histórico de comandos e imagens das estações, garantindo trilha forense íntegra para responder à pergunta crítica: houve ou não alteração de processo?
5. Investigação e escopo: reconstruir o caminho do atacante, confirmar até onde ele chegou e se algum set-point, dosagem ou comando de campo foi tocado, orientando a comunicação à vigilância sanitária se for o caso.
6. Erradicação: remover o acesso do atacante de forma definitiva, tratar a origem (ex.: máquina de fornecedor comprometida), rotacionar credenciais e desativar acessos remotos inseguros.
7. Recuperação segura: restabelecer acesso remoto sobre base blindada (MFA, jump host, just-in-time, sessões gravadas) e validar a integridade de supervisão, telemetria e processo antes do retorno à rotina.
8. Lições e blindagem: consolidar o aprendizado, fechar as lacunas que permitiram o incidente (segmentação, MFA, monitoramento) e agendar validação por Pentest seguro de OT.

Como a Decripte estrutura a segurança de uma operadora de saneamento

A estrutura de segurança que a Decripte constrói no saneamento se apoia em pilares que, juntos, reduzem o caminho do atacante, fecham a porta mais usada, garantem a detecção do que escapa e mantêm a operação resiliente e em conformidade.

Planos recomendados para Saneamento e Água

Perguntas frequentes

Termos do setor

SCADA

Sistema de Supervisão e Aquisição de Dados (Supervisory Control and Data Acquisition). É o conjunto de software e telas que permite operar e monitorar remotamente o processo industrial — em saneamento, a dosagem química, o bombeamento e a distribuição da água.

OT (Operational Technology)

Tecnologia operacional: os sistemas que controlam o mundo físico de uma planta industrial (CLPs, IHMs, sensores, atuadores), em contraste com a TI, que cuida de dados e sistemas administrativos. Em saneamento, o OT comanda o tratamento e a distribuição.

CLP

Controlador Lógico Programável: o dispositivo que executa a lógica de controle do processo no campo, acionando bombas, válvulas e dosadores conforme os comandos do SCADA. É um dos ativos mais sensíveis a proteger em OT.

IEC 62443

Família de normas internacionais de segurança para sistemas de automação e controle industrial. Define conceitos como zonas e condutos e níveis de segurança, servindo de referência para estruturar e evidenciar a proteção de ambientes OT.

Segmentação (zonas e condutos)

Prática de dividir a rede em zonas isoladas e permitir entre elas apenas as comunicações explicitamente autorizadas (os condutos). Impede que um comprometimento na rede corporativa alcance automaticamente a rede de automação industrial.

Acesso just-in-time

Modelo em que o acesso privilegiado — por exemplo, de um fornecedor à rede de OT — é concedido apenas durante o tempo necessário e mediante aprovação, sendo revogado automaticamente depois, em vez de permanecer sempre ativo.