Instalação offshore de petróleo e gás nos EUA com risco ‘crescente’ de ataque cibernético

O US Government Accountability Office (GAO) alertou que agora é hora de agir para proteger as instalações offshore de petróleo e gás natural dos EUA porque elas estão sob “risco crescente” e “significativo” de ataque cibernético.

Um relatório ao Congresso analisou uma rede de “mais de 1.600 instalações offshore de petróleo e gás”, que o órgão regulador federal apontou produzir uma quantidade “significativa” de petróleo e gás doméstico da América – e a tecnologia operacional (OT) que cuida e controla o equipamento físico.

O estudo também alertou para um potencial desastre ecológico (e energético) comparável ao desastre da Deepwater Horizon em 2010.

Com um ar de desespero, o relatório acrescenta que, em 2015 e 2020, o Bureau of Safety and Environmental Enforcement (BSEE) do Departamento do Interior iniciou esforços para lidar com os riscos de segurança cibernética, mas “nenhum deles resultou em ações substanciais”.

No início deste ano, a BSEE “começou novamente outra iniciativa desse tipo”, contratando um especialista em segurança cibernética para liderá-la. Mas os funcionários da agência aparentemente colocaram isso em pausa enquanto o especialista é atualizado sobre “as questões relevantes”. Enquanto isso, o relatório insiste, a BSEE deve “imediatamente” elaborar uma estratégia para “lidar com os riscos de infraestrutura offshore”.

Curiosamente, o relatório não menciona nem o ataque físico às linhas de gás sob o Mar Báltico de propriedade da empresa russa de energia Nord Stream, nem o Stuxnet – que talvez seja o malware de sistema SCADA mais conhecido de todos os tempos. O famoso worm foi amplamente creditado por prejudicar o programa de armas nucleares iraniano por vários anos e, de acordo com os pesquisadores, encontrou seu caminho para a rede sem ar da usina em um pendrive infectado.

Os sistemas de controle de supervisão e aquisição de dados (SCADA) fornecem uma interface gráfica do usuário para que os operadores verifiquem o status de um sistema de controle industrial; receber quaisquer alarmes de que as unidades estão offline ou comprometidas; ou inserir ajustes para gerenciar os processos no próprio sistema.

O GAO mencionou o USB como um vetor de infecção, no entanto, apontando para um alerta de 2018 da Schneider Electric sobre alguns dispositivos de monitoramento de sistema que foram embalados com mídia removível USB que um de seus fornecedores contaminou com malware durante a fabricação.

Na pior das hipóteses, o relatório sugere que ataques cibernéticos em sistemas de tecnologia operacional no setor de petróleo e gás offshore podem resultar em um desastre na escala da falha de 2010 do preventor de explosão da unidade móvel de perfuração offshore Deepwater Horizon. O relatório aponta que o sistema de tecnologia de operação (OT) da plataforma de perfuração offshore semissubmersível contribuiu para sua explosão e naufrágio “bem como 11 mortes, ferimentos graves e o maior derramamento de óleo marinho na história dos EUA (aproximadamente 4,9 milhões barris).”

 

E a economia…

De acordo com funcionários da Administração de Segurança de Oleodutos e Materiais Perigosos, ataques cibernéticos contra OT de oleodutos – como válvulas que controlam o fluxo de petróleo e gás – podem “interromper a produção e a transmissão e, assim, afetar negativamente o fornecimento de energia, os mercados e a economia”.

O relatório [PDF] também observou que o ataque de ransomware de 2021 à Colonial Pipeline Company levou a uma interrupção temporária no fornecimento de gasolina e outros produtos petrolíferos em grande parte do sudeste dos EUA. Não só o operador foi pego de surpresa em termos de defesas de segurança cibernética, como também seus operadores pagaram US$ 5 milhões para recuperar o controle de seus sistemas e fazer o oleoduto bombear petróleo novamente. Na época, a empresa transportava 100 milhões de galões por dia de combustíveis refinados entre Houston, Texas e o porto de Nova York – 45% de todo o combustível necessário na costa leste dos Estados Unidos.

Embora nunca tenha mencionado a Europa explicitamente, o relatório está claramente de olho nos choques de preços de energia que estão sendo sofridos na Europa, onde a guerra da Rússia contra a Ucrânia interrompeu o fornecimento de gás natural. As nações europeias, algumas mais do que outras, já eram muito dependentes do gás russo por causa da lentidão de suas mudanças em direção à energia limpa e do movimento de algumas para fechar suas usinas nucleares.

Quando a Rússia cortou o suco, isso contribuiu para o aumento da inflação global, bem como para o orçamento extremo de energia – e o inesperado renascimento das usinas de carvão – com Alemanha, Áustria, França e Holanda anunciando planos para reativá-las ou prolongar suas operações.

Algumas das ameaças cibernéticas citadas pelo cão de guarda federal incluíam aquelas representadas por atacantes online patrocinados pelo estado da Rússia. Nos ataques de 2015 na Ucrânia, de acordo com um alerta da CISA, criminosos patrocinados pela Rússia emitiram comandos não autorizados para abrir os disjuntores em subestações gerenciadas por três concessionárias de eletricidade regionais, causando uma perda de energia para cerca de 225.000 clientes.

O relatório conclui que a falta de ação para lidar com os riscos de segurança cibernética para as mais de 1.600 instalações e estruturas de petróleo e gás na plataforma continental externa cria “responsabilidade significativa”, uma vez que um ataque cibernético bem-sucedido em tal infraestrutura pode ter efeitos potencialmente catastróficos. Ele quer uma estratégia para orientar os esforços mais recentes de segurança cibernética que inclua uma avaliação de risco; medidas de desempenho; coordenação de esforços; e uma avaliação dos recursos necessários.

 

Fonte: The Register