Resumo

  • A análise da Forescout de 5 de agosto diz que uma consulta Shodan do dia 3 achou 4.407 controladores com a porta EtherNet/IP 44818 exposta.
  • Os EUA tinham 2.844 resultados, ou 65%; Canadá 513, Espanha 146, Itália 109 e Austrália 96.
  • Mais de 70% dos resultados americanos estava em grandes redes móveis, indicando uma superfície de roteamento celular, não violação da operadora.
  • A Forescout encontrou 22 hosts em cidades citadas na campanha contra serviços de água, mas não confirmou comprometimento desses equipamentos.
  • Dezenove pareciam suscetíveis por firmware à CVE-2017-16740; nem o requisito de Modbus TCP habilitado nem a exploração foram confirmados.
  • O FBI registra incidentes em pelo menos sete estados desde 27 de julho, enquanto a Forescout diz 12; sete é o registro oficial e a divergência deve permanecer explícita.

Exposição é o primeiro denominador, não o total de incidentes

Os 4.407 são resultados de uma pesquisa por dispositivos públicos com a porta 44818 em um momento e sob uma regra definidos. Não são sistemas de água, organizações únicas, vítimas ou controladores comprometidos. Uma entidade pode operar vários aparelhos e alguns podem servir outros processos industriais.

A distinção não torna o resultado benigno. Um controlador diretamente alcançável oferece um caminho de descoberta e interação que deveria ser removido ou mediado com rigor. Transformar alcance em comprometimento, porém, atrapalha a ação correta.

Roteamento celular concentra a superfície

Mais de 70% dos resultados nos EUA apareceu em redes de grandes operadoras móveis. Roteadores celulares conectam instalações remotas onde linhas fixas custam caro, mas podem criar uma rota pública até equipamentos que o dono supunha isolados.

A concentração não prova invasão da operadora nem propriedade do PLC. Ela mostra a interseção de endereçamento, rotas, firewall e configuração do cliente. A correção requer inventário e isolamento pelo proprietário e apoio do provedor com detecção de endpoints, endereços privados e controles gerenciados.

A mistura de modelos mostra vida industrial longa

MicroLogix 1400 representou 50%, CompactLogix 1769 22%, MicroLogix 1100 8% e ControlLogix 5590 8%. Famílias mais antigas lembram que equipamento industrial dura muito. Troca pode exigir parada, revalidação e mudança no processo físico.

Por isso controles compensatórios importam: retirar a rota pública, proteger acesso remoto com gateways autenticados, monitorar protocolos e manter cópias recuperáveis da lógica reduzem risco mesmo sem substituição imediata.

Vinte e duas coincidências não confirmam vinte e dois ataques

A Forescout cruzou o scan com cidades da campanha de água e encontrou 22 hosts; 19 estavam na mesma rede móvel. É uma interseção útil para priorizar investigação, mas a empresa diz que não pôde confirmar o comprometimento desses aparelhos.

Geografia e operadora comuns podem resultar de compras e projetos semelhantes. Não estabelecem dono comum, atribuição ou caminho único. Os 22 formam uma fila urgente de revisão, não uma lista de vítimas.

Suscetibilidade por firmware ainda depende de uma condição

Dezenove pareciam, pela versão, suscetíveis à CVE-2017-16740. O comunicado da Rockwell define o alcance. A Forescout afirma que a exploração exige Modbus TCP habilitado, condição que não pôde confirmar remotamente. Não há prova de uso da falha na campanha.

Suscetibilidade, possibilidade de explorar e exploração observada são etapas diferentes. Defensores devem corrigir, mas o relato não pode fundi-las.

O FBI define os efeitos operacionais confirmados

FBI e EPA dizem que serviços em pelo menos sete estados relataram incidentes desde 27 de julho. Atores mudaram endereços IP e senhas, causando perda de monitoramento ou controle; houve perda de pressão e inundação, e uma vítima encontrou o projeto PLC alterado. Não houve atribuição.

A Forescout menciona pelo menos 12 estados. Como o FBI mantém o aviso oficial, sete é o número defensável até uma atualização. A divergência deve ser visível e demonstra que estatística de varredura não substitui registro de incidente.

Scans independentes não formam uma série limpa

A Censys contou 4.148 hosts Rockwell ou Allen-Bradley em 30 de julho e disse que Verizon Business, AT&T Mobility e T-Mobile USA somavam 59%. A consulta Shodan da Forescout achou 4.407 em 3 de agosto. Motores, regras, datas e classificação diferem; a diferença não é crescimento comprovado.

Na própria série da Forescout, a exposição caiu de 7.814 em março de 2020 para 4.169 em junho de 2026, antes de voltar a 4.407. O quadro sugere melhora de longo prazo, resíduo elevado e rebote recente no mesmo método.

Fontes