Project Watershed 250 começa no Texas, reúne governo e empresas de tecnologia e poderá ser levado a todo o país em resposta à crescente exposição digital de serviços essenciais
A Casa Branca lançou nesta segunda-feira, 31 de agosto de 2026, o Project Watershed 250, um programa destinado a reforçar a segurança cibernética dos sistemas de água dos Estados Unidos e que poderá servir de modelo para a proteção de instalações de abastecimento em todo o país.
O projeto começa no Texas, onde será realizado um piloto de seis meses para identificar vulnerabilidades antes que sejam exploradas e testar mecanismos capazes de ampliar a resiliência das concessionárias. A iniciativa reúne o Office of the National Cyber Director (ONCD), o Texas Cyber Command, o governo do Texas, a Agência de Proteção Ambiental dos Estados Unidos (EPA), a Cybersecurity and Infrastructure Security Agency (CISA) e empresas privadas de tecnologia e segurança cibernética. Microsoft, Reflection AI, Palo Alto Networks e Dragos estão entre as participantes.
O programa conectará concessionárias de água a ferramentas de cibersegurança e inteligência artificial e utilizará técnicas de red teaming, nas quais sistemas são submetidos a ataques controlados para revelar vulnerabilidades antes que sejam encontradas por agentes maliciosos. Segundo as informações divulgadas pela administração norte-americana, o apoio será oferecido sem custo às instalações participantes.
O objetivo vai além de corrigir falhas individualmente.
O Texas funcionará como campo de testes para verificar se esse modelo de colaboração entre governo federal, estados e empresas privadas pode ser reproduzido em escala nacional.
O diretor nacional de cibersegurança dos Estados Unidos, Sean Cairncross, afirmou que a administração pretende levar as ferramentas inicialmente testadas no Texas a comunidades e concessionárias em todo o país.
A escolha do setor de água não é casual.
Sistemas que abastecem cidades, hospitais, empresas e outras instalações essenciais estão cada vez mais conectados a sensores, equipamentos de controle, sistemas de supervisão e tecnologias que permitem operação remota. Essa digitalização aumenta eficiência e capacidade de gestão, mas amplia também a superfície disponível para ataques.
Ataques já provocaram perda de controle, pressão e alagamentos
O risco que o Project Watershed 250 pretende enfrentar deixou de ser hipotético.
Em 30 de julho de 2026, o Federal Bureau of Investigation (FBI) e a EPA divulgaram um alerta conjunto após ataques contra dispositivos de Tecnologia Operacional, OT (Operational Technology), utilizados por empresas de água e esgoto.
Desde 27 de julho, concessionárias de pelo menos sete estados haviam comunicado incidentes ao FBI, alguns deles com impacto nas operações de abastecimento.
Os alvos incluíram Controladores Lógicos Programáveis, PLCs (Programmable Logic Controllers), equipamentos responsáveis por monitorar ou comandar processos físicos.
Depois de acessar remotamente dispositivos expostos à internet, os invasores modificaram endereços IP e senhas, fazendo com que operadores perdessem capacidade de monitoramento e, em alguns casos, de controle dos equipamentos.
Os efeitos registrados pelo FBI ajudam a compreender por que ataques desse tipo ultrapassam o conceito convencional de incidente de TI.
Entre as consequências estiveram perda de pressão e alagamentos. A agência norte-americana alertou inclusive que a perda de pressão em redes de abastecimento pode permitir que água subterrânea não tratada penetre nas tubulações.
Nesse cenário, uma invasão deixa de representar apenas indisponibilidade de sistemas ou perda de informações.
Ela pode alterar o comportamento de uma infraestrutura física da qual depende a população.
FBI coloca controle de acesso entre as medidas essenciais
Há outro aspecto particularmente importante no alerta norte-americano.
Entre as recomendações emitidas pelo FBI e pela EPA está a necessidade de controlar rigorosamente o acesso aos PLCs, configurando firewalls e listas de controle de acesso para permitir somente comunicações autorizadas entre os dispositivos esperados no sistema de controle.
As agências recomendam ainda retirar os controladores da exposição direta à internet, intermediar os acessos remotos por gateways seguros, utilizar autenticação forte, manter logs e garantir que as instalações continuem capazes de operar manualmente quando os sistemas digitais estiverem indisponíveis.
O episódio evidencia uma mudança importante na arquitetura de segurança.
Não basta saber se alguém conseguiu entrar em um sistema. É necessário controlar quem entra, a que recurso terá acesso e quais operações aquela identidade está autorizada a executar.
Em uma infraestrutura crítica, essas permissões podem significar acesso a uma aplicação administrativa, mas também a um sistema capaz de controlar bombas, pressão, tratamento, distribuição ou outros processos físicos.
Controle de acesso ganha importância também no alerta global sobre IA
É justamente nesse ponto que a iniciativa da Casa Branca se conecta, ainda que em outro contexto, a um movimento internacional que ganhou força nesta mesma segunda-feira, 31 de agosto de 2026.
O Financial Stability Board (FSB) alertou os ministros das Finanças e presidentes de bancos centrais do G20 que o impacto potencial dos modelos de inteligência artificial mais avançados sobre o risco cibernético se tornou sua preocupação mais imediata para a estabilidade financeira mundial.
Andrew Bailey, presidente do FSB e governador do Banco da Inglaterra, advertiu que a IA pode alterar substancialmente a velocidade, a escala e a economia dos ataques, pressionando a capacidade de defesa e recuperação de organizações altamente interconectadas.
Mas existe um ponto técnico do trabalho recente do FSB especialmente relevante para esta reportagem.
Em seu relatório Sound Practices for Financial Institutions’ Responsible AI Adoption, publicado em junho de 2026, o organismo inclui entre as práticas de defesa autenticação, Gestão de Identidades e Acessos, inclusive modelos dinâmicos, defesa em profundidade e aplicação do princípio do menor privilégio, para que agentes recebam somente as permissões e controles de acesso necessários à execução de suas funções.
O setor analisado pelo FSB é financeiro, não hídrico. Ainda assim, o princípio de segurança converge com aquilo que o FBI está recomendando agora para ambientes de água e Tecnologia Operacional: uma identidade comprometida não pode representar acesso irrestrito aos recursos mais críticos da organização.
A criticidade da operação deve determinar o nível de proteção
Esse é também um ponto recorrente nas análises de Sérgio Muniz é Diretor de Vendas para Gestão de Identidade e Acesso da Thales na América Latina, em suas entrevistas ao Crypto ID.
No ID Talk publicado nesta segunda-feira, Muniz voltou a tratar da relação entre identidade, acesso e criticidade da operação.
Na conversa, o executivo explicou que uma atividade cotidiana e de baixo impacto não deveria necessariamente receber o mesmo nível de proteção de uma transferência financeira relevante, uma alteração em folha de pagamento, uma ação administrativa privilegiada ou uma intervenção em infraestrutura tecnológica.
A segurança, portanto, precisa considerar quem é o usuário, o dispositivo utilizado, o contexto, o comportamento e principalmente a criticidade do recurso que está sendo acessado.
O ponto central da análise de Muniz é particularmente importante para infraestruturas essenciais: identidade e acesso deixaram de ser componentes isolados da área de tecnologia e passaram a integrar o próprio controle de risco da operação. No caso de uma instalação crítica, saber quem está acessando, o que essa identidade pode fazer e quem autorizou determinada ação pode representar a diferença entre uma credencial comprometida e um incidente operacional de grandes proporções.
O Crypto ID aprofundou esse debate também na matéria publicada nesta segunda-feira, “Empresas globais pedem reação urgente contra ciberataques com IA”, sobre a mobilização de OpenAI, Anthropic, Google, Microsoft, AWS e mais de uma centena de organizações.
Entre as recomendações está justamente a redução de privilégios e o reforço dos controles de acesso, com múltiplas camadas de proteção para impedir que o comprometimento de uma única credencial abra caminho para sistemas críticos.
É uma discussão que atravessa setores diferentes, mas converge para a mesma arquitetura de defesa: acesso precisa ser limitado pelo risco e pela função que será executada.
O NIST já tratava a conexão de sistemas de água como um problema específico de segurança
O movimento da Casa Branca também encontra respaldo em outro trabalho recente do governo norte-americano.
Em 24 de junho, o National Institute of Standards and Technology (NIST) publicou a versão final da Special Publication 1800-45, dedicada à cibersegurança no setor de água e esgoto e especificamente ao acesso remoto seguro a ambientes de Tecnologia Operacional.
O NIST observa que concessionárias estão incorporando automação, sensores conectados à internet, equipamentos de rede, coleta de dados e softwares analíticos para melhorar operações e prestação dos serviços.
Essas tecnologias produzem ganhos importantes, mas também aumentam riscos e vulnerabilidades cibernéticas.
Entre os quatro grandes desafios técnicos destacados pelo programa estão acesso remoto seguro, segmentação de rede, gerenciamento de ativos e integridade dos dados.
A questão, portanto, não é impedir a conectividade.
É construir uma arquitetura capaz de conectá-los com segurança.
EPA encontrou vulnerabilidades em 277 sistemas de água
A dimensão da exposição já vinha sendo medida antes dos ataques de julho.
Em fevereiro deste ano, a EPA – Environmental Protection Agency, em português, Agência de Proteção Ambiental dos Estados Unidos, informou que seu Office of Water havia identificado, durante 2025, vulnerabilidades de cibersegurança em 277 sistemas de água dos Estados Unidos.
As fragilidades atingiam inclusive tecnologias responsáveis pelo controle de processos de água potável e esgoto. Entre as correções realizadas estavam protocolos de autenticação e controles rígidos de acesso.
Um trabalho anterior do Office of Inspector General da própria EPA havia encontrado algum nível de exposição cibernética em mais de mil sistemas de água potável que, juntos, atendiam mais de 193 milhões de pessoas.
Esses números ajudam a explicar por que a administração norte-americana decidiu transformar o setor em laboratório de uma estratégia de proteção mais ampla.
Equipamentos conectados também precisam ter identidade
O controle dos usuários, entretanto, é apenas uma parte do problema.
Em sistemas automatizados, máquinas também se comunicam com máquinas.
Sensores enviam informações. Controladores recebem comandos. Gateways estabelecem conexões. Sistemas centrais coletam dados de equipamentos distribuídos por grandes áreas.
É nesse ponto que a discussão sobre controle de acesso se encontra com outra questão que o Crypto ID vem acompanhando: a identidade digital dos próprios equipamentos.
Na sexta-feira, 28 de agosto, ao analisar o ataque cibernético que deixou uma pequena usina de geração de energia a gás fora de operação durante aproximadamente quatro dias no Reino Unido, Alexandre Siffert Colares, Managing Director da CERMOB, empresa brasileira especializada em segurança criptográfica, certificação digital e arquiteturas de confiança aplicadas, entre outros ambientes, a dispositivos de Internet das Coisas (IoT) utilizados em infraestruturas críticas, chamou atenção para essa mudança.
“Quando conectamos equipamentos que participam da operação de uma infraestrutura crítica, a superfície de risco muda de dimensão.”
Na análise publicada pelo Crypto ID, Siffert explicou que cada equipamento conectado passa a exigir identidade, autenticação e mecanismos para garantir a integridade dos dados e comandos. A confiança, portanto, precisa começar no próprio dispositivo.
O paralelo com o projeto norte-americano é importante.
O caso britânico mostra por que instalações essenciais precisam ser observadas continuamente
O ataque ocorrido no Reino Unido não provocou interrupção do fornecimento de energia aos consumidores nem colocou em risco a rede elétrica nacional.
Ainda assim, deixou uma pequena instalação de geração fora de operação por cerca de quatro dias e chamou atenção para a exposição de milhares de ativos menores e distribuídos conectados ao sistema energético. O episódio foi revelado pelo The Guardian em 27 de agosto e analisado pelo Crypto ID no dia seguinte.
O caso britânico e os ataques às empresas de água norte-americanas têm dimensões e arquiteturas diferentes.
Mas ambos ilustram por que instalações responsáveis por serviços essenciais à população precisam ser monitoradas continuamente, independentemente do tamanho individual de cada ativo.
Água, energia, gás, telecomunicações, saúde e transportes possuem uma característica comum: uma falha digital pode ultrapassar o computador e alcançar a prestação concreta do serviço.
É justamente esse risco que torna a iniciativa da Casa Branca particularmente relevante.
Project Watershed 250 poderá estabelecer um novo modelo
O Project Watershed 250 não resolve sozinho as fragilidades acumuladas em décadas de digitalização das infraestruturas norte-americanas.
Mas sua importância está no modelo.
Em vez de esperar pelo próximo ataque para descobrir quais equipamentos estavam expostos, quais credenciais eram frágeis ou quais acessos deveriam ter sido bloqueados, o governo pretende utilizar equipes e ferramentas ofensivas de forma controlada para encontrar essas vulnerabilidades antecipadamente.
O programa combina red teaming, inteligência artificial, análise de vulnerabilidades, conhecimento especializado em Tecnologia Operacional e cooperação entre governo e indústria.
E fará isso justamente em um setor que entrega um recurso indispensável à vida.
Se o piloto demonstrar que essa estrutura consegue fortalecer concessionárias com diferentes níveis de orçamento e maturidade tecnológica, o governo norte-americano pretende expandi-la para outros sistemas de água do país.
O nome Watershed remete, em inglês, a uma bacia hidrográfica, mas a palavra também é utilizada para descrever um ponto de mudança, um verdadeiro divisor de águas.
Ainda é cedo para saber se o Project Watershed 250 merecerá também esse significado figurado.
Mas a iniciativa sinaliza uma mudança relevante de postura: infraestruturas críticas precisam ser testadas e defendidas antes que o atacante faça esse trabalho primeiro.
Um tema acompanhado de perto pelo Crypto ID
A relação entre digitalização, identidade, controle de acesso e segurança de infraestruturas críticas vem sendo acompanhada de forma contínua pelo Crypto ID em reportagens, artigos técnicos e entrevistas.
Somente nos últimos dias, o portal publicou a análise do ataque à usina britânica, com as reflexões de Alexandre Siffert sobre dispositivos conectados; uma nova entrevista com Sérgio Muniz sobre identidade, acessos e operações críticas; e a reportagem sobre a mobilização de mais de uma centena de empresas globais diante da perspectiva de ciberataques potencializados por inteligência artificial.
Os acontecimentos desta segunda-feira acrescentam uma peça importante a essa discussão.
A Casa Branca decidiu sair da formulação estratégica e colocar em campo um projeto concreto para descobrir vulnerabilidades em sistemas de água antes dos adversários.
Em infraestruturas das quais depende diretamente a população, essa capacidade de antecipação pode ser tão importante quanto responder bem depois de um ataque.
Porque, quando sistemas digitais passam a controlar processos físicos, cibersegurança deixa de proteger apenas informação. Passa a proteger a continuidade do serviço, a operação e, em última análise, a própria sociedade.
Ataque cibernético a usina no Reino Unido acende alerta sobre infraestrutura energética conectada
Ataque cibernético a usina no Reino Unido acende alerta sobre infraestrutura energética conectada
Casa Branca terá agência de segurança cibernética
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
Somos voz influente no ecossistema brasileiro de segurança da informação e identificação digital, e nosso propósito é contribuir ativamente para a educação e o debate sobre esses temas.
Fale com a gente: +55 11 9 9286 7046 ou contato@cryptoid.com.br
