Rezumat executiv: Peste 30 de rețele de alimentare cu apă din Minnesota au fost ținta unui atac cibernetic coordonat în perioada 26-27 iulie. Câteva zile mai târziu, statul Michigan a confirmat incidente similare la nouă dintre rețelele sale de alimentare cu apă. Acest tipar evidențiază modul în care o singură vulnerabilitate de proiectare în domeniul securității cibernetice a tehnologiilor operaționale (OT) a devenit o suprafață de atac la nivel național.
La 30 iulie 2026, FBI și EPA au emis un anunț comun de interes public (PSA; Alerta I-073026-PSA) care oferea detalii suplimentare despre atacul din Minnesota. Conform anunțului, atacatorii au obținut acces de la distanță la PLC-urile conectate la internet și le-au modificat adresele IP și parolele, blocând funcționalitatea de monitorizare și control a operatorilor. Cel puțin o organizație a descoperit, de asemenea, fișiere de proiect ale PLC-urilor modificate după ce a observat discrepanțe în logica ladder la mai multe locații, iar FBI-ul a remarcat că similitudinile în configurațiile de rețea furnizate de terți ar fi putut permite atacatorilor să repete aceeași tehnică la mai mulți clienți.
La 1 august, a fost făcut public un alt atac. De data aceasta, Departamentul pentru Mediu, Marile Lacuri și Energie din Michigan a confirmat atacuri cibernetice asupra a nouă dintre rețelele sale de alimentare cu apă, la câteva zile după ce statul Minnesota a raportat incidente similare pe întreg teritoriul său.
Oficialii federali au indicat Iranul ca principal suspect; cu toate acestea, atribuirea responsabilității este încă preliminară, iar FBI-ul continuă să investigheze incidentele din ambele state.
În toate comunitățile afectate, personalul de la lucrări publice a trecut la operarea manuală, permițând continuarea fără întrerupere a serviciilor de alimentare cu apă și de canalizare, în condițiile în care sistemul de control automat era compromis. Este o reușită operațională, iar operatorii din Minnesota merită toate laudele pentru aceasta. Soluția manuală de rezervă a funcționat de data aceasta, dar s-ar putea să nu funcționeze data viitoare.
Infrastructurile critice nu se pot baza întotdeauna pe vigilența operatorilor lor pentru a compensa lipsa unei arhitecturi sigure.
Un tipar care ar putea fi evitat, care se repetă de ani de zile
Deși ar fi oarecum convenabil să considerăm atacul ca pe un incident izolat legat de Iran, un eveniment singular strâns legat de tensiunile existente cu Iranul, atacul asupra infrastructurii critice a SUA reprezintă un model recurent.
Conform unei alertă comună de aplicare a legii emisă de EPA, CISA, FBI, Agenția Națională de Securitate, EPA și alte entități federale au emis numeroase avertismente privind atacurile cibernetice îndreptate împotriva rețelelor de informații și a sistemelor de control al proceselor din cadrul sistemelor de alimentare cu apă și de tratare a apelor uzate, comise de actori cibernetici susținuți de stat. Pentru a menționa doar câteva:
- Actori cibernetici iranieni afiliați la IRGC
- Hacktiviști pro-Rusia
- Actori cibernetici susținuți de stat din Republica Populară Chineză cunoscuți sub numele de Volt Typhoon, Vanguard Panda și alte denumiri.
Incidentele din Minnesota și Michigan reprezintă doar cele mai recente date dintr-un peisaj al amenințărilor pe care agențiile federale îl descriu, în scris, cel puțin încă de la sfârșitul anului 2023.
Accesul la apă curată este un drept fundamental al omului; o stație de tratare care nu își poate verifica propriile doze de substanțe chimice sau sistemele de control al presiunii reprezintă o criză națională de sănătate publică iminentă.
După cum a afirmat administratorul EPA, Lee Zeldin, responsabilitatea le revine persoanele care gestionează instalațiile. Recomandările sunt publice de ani de zile, iar operatorii nu ar trebui să aștepte un mandat federal pentru a-și repara sistemele.
Multe PLC-uri, inclusiv unitățile MicroLogix aflate în centrul acestui incident, sunt echipamente vechi care s-ar putea să nu mai primească actualizări de securitate, fiind concepute pentru mediul de producție, nu pentru internet. Dacă aceste sisteme de control sunt expuse, o intruziune minoră va provoca perturbări operaționale reale pentru comunități mari și mici.
Cum se manifestă acest tipar în atacul din Minesotta
Un atac tipic asupra sistemelor OT începe adesea cu un e-mail de phishing care compromite un utilizator IT sau un terminal. Apoi, atacatorul își extinde privilegiile prin Active Directory, trece de la rețeaua IT la mediul OT, compromite o stație de lucru a inginerilor și, în cele din urmă, obține acces la PLC-uri pentru a manipula sau perturba procesele industriale.
În cazul atacului din Minnesota (cel puțin), atacatorii au sărit peste aproape toate etapele. Se pare că atacatorii nu au avut nevoie să compromită mai întâi rețeaua IT a companiei; pur și simplu au identificat și au exploatat PLC-urile expuse direct la internet.
Pe baza informațiilor disponibile, este posibil ca atacatorii să fi obținut acces administrativ la PLC-uri prin exploatarea datelor de autentificare prestabilite, a parolelor slabe sau a lipsei politicilor de autentificare multifactorială (MFA). Acest lucru le-a permis să ocolească calea tradițională de atac de la IT la OT, reducând semnificativ numărul de pași necesari pentru a compromite controlerele.
Lanțul de atac demonstrează de ce dispozitivele de nivel 0-1 nu ar trebui să aibă niciodată acces la internet.
Măsurile de control ale rețelei nu sunt suficiente pentru tehnologia operațională
Lanțul de atac demonstrează de ce dispozitivele de nivel 0-1 nu ar trebui să aibă niciodată acces la internet.
În ceea ce privește bunele practici în domeniul securității cibernetice a sistemelor OT, FBI, EPA și CISA recomandă, pe bună dreptate, eliminarea expunerii la internet, implementarea de firewall-uri, VPN-uri, segmentarea rețelei și politici solide de autentificare. Acestea rămân măsuri de control fundamentale și ar trebui implementate oriunde este necesar accesul la distanță. Cu toate acestea, în cazul sistemelor de control industrial cu impact ridicat, organizațiile ar trebui să se întrebe dacă accesul la distanță este cu adevărat necesar.
VPN-urile și firewall-urile sunt programe software, ceea ce înseamnă că prezintă vulnerabilități. Sunt configurate de oameni, ceea ce înseamnă că pot fi configurate greșit. Aceiași actori care au petrecut luna iulie scanând internetul în căutarea unor PLC-uri expuse pot, la fel de ușor, să îndrepte aceleași scanere către terminale VPN și firewall-uri vulnerabile sau configurate greșit. Este aceeași problemă, doar cu o altă interogare de căutare.
Niciun controler responsabil de aprovizionarea cu apă, energie electrică, transporturi sau alte servicii esențiale nu ar trebui să fie accesibil direct de pe internetul public. Există o diferență între „sigur” și „izolat”, dar tocmai aici eșuează sistemele de securitate cibernetică ale unor furnizori de utilități.
Rețelele VPN autentifică și criptează accesul la distanță, în timp ce firewall-urile reglementează traficul permis. Ambele presupun că rămâne disponibil un anumit nivel de conectivitate de intrare. O poartă unidirecțională, sau dioda de date, vizează un obiectiv de securitate diferit: eliminarea completă a conectivității de rețea de intrare pentru sistemele care nu necesită control de la distanță.
Cum fluxurile unidirecționale elimină o întreagă categorie de riscuri
În general, comunicațiile industriale se împart în două categorii:
1. Controlează traficul, care transmite comenzi către procese.
2. Monitorizarea traficului, care exportă date operaționale către sisteme de înregistrare istorică, centrele SOC, aplicațiile enterprise, platformele de analiză în cloud sau portalurile de gestionare.
Multe sisteme critice ajung să utilizeze doar cea de-a doua categorie. În aceste medii, permiterea conectivității de intrare nu face decât să mărească suprafața de atac, fără a oferi vreo valoare operațională.
Dacă datele operaționale trebuie să părăsească rețeaua, acestea nu ar trebui să parcurgă o cale care să permită intrarea oricăror date înapoi. În schimb, ar trebui să treacă printr-o barieră fizică unidirecțională, asigurată la nivel hardware.
Datorită fluxului impus într-un singur sens, operatorii beneficiază de o vizibilitate completă asupra a ceea ce se întâmplă în hala de producție. Atacatorii, pe de altă parte, nu au nicio posibilitate de a reveni prin acea conexiune.
Acesta este principiul care stă la baza soluției MetaDefender™ de la OPSWATMetaDefender™ NetWallde la MetaDefender : diode de date de ultimă generație, care asigură securitate unidirecțională. NetWall implementează o comunicare unidirecțională asigurată de hardware, transferând date operaționale precum informații istorice, alarme, jurnale sau date de telemetrie din sistemele OT critice către sistemele întreprinderii, împiedicând în același timp orice sesiuni de rețea, trafic de gestionare sau comenzi de control să se întoarcă către controlerele protejate.
Nu este necesar să se securizeze calea de retur, deoarece aceasta nici măcar nu există. Astfel se elimină categoria de vulnerabilități pe care un firewall nu o poate elimina complet: o regulă configurată incorect, un port deschis sau o excepție de politică. Eroarea umană, ca factor de risc, este, de asemenea, eliminată complet, deoarece diodele nu necesită regulile complexe de configurare bidirecțională utilizate de firewall-uri. MetaDefender NetWall este conceput pentru a îndeplini cerințele stricte de securitate din mediile industriale, precum și recomandările EPA privind reziliența sectorului de apă.
10.000 de servere gazdă sunt încă vulnerabile; cum putem remedia această problemă?
În acest moment, peste 4.100 de servere Rockwell Automation/Allen-Bradley expuse la internet, peste 4.100 de servere Siemens și peste 2.000 de servere Schneider Electric sunt accesibile de pe internetul deschis. Potrivit CISA, modemurile celulare adăugate de operatori, furnizori sau integratori de sisteme reprezintă adesea un punct nevralgic, deoarece sunt deseori nedocumentate și, prin urmare, omise din scanările de rutină ale suprafeței de atac.
Cu alte cuvinte, peste 10.000 de dispozitive sunt expuse exact aceleiași categorii de atacuri care tocmai au afectat rețelele de alimentare cu apă din Michigan și Minnesota. Este vorba de controlere care, dacă sunt compromise, pot inunda o stație de tratare sau pot lăsa apa netratată. CISA folosește rețelele VPN și firewall-urile ca recomandări de bază pentru protejarea infrastructurii critice a SUA. Deși acestea au un merit real, vorbim totuși despre instrumente bazate pe internet. Recomandările actuale pentru protejarea unei supape de presiune, a unui sistem de alimentare cu substanțe chimice și a apei de la robinet a unei familii nu pot fi plasate în aceeași categorie cu instrumentele concepute pentru a proteja o pagină de autentificare.
Minnesota și Michigan ne reamintesc că securitatea de tipul celei utilizate pe internet nu a fost concepută niciodată pentru a fi ultima linie de apărare a sistemelor fizice, esențiale pentru siguranța publică. Infrastructura de siguranță publică are nevoie de o soluție fizică; o barieră pe care atacatorii nu o pot reconfigura, exploata sau scana pentru a o traversa, deoarece nu există o cale de întoarcere pe care un scaner să o poată detecta.
Primul episod al noii serii documentare a revistei „ OPSWAT”, prezentată de Kari Byron din emisiunea „MythBusters”, susține în mod deschis că o apărare pe mai multe niveluri, inclusiv fluxul de date unidirecțional asigurat la nivel hardware, nu este doar un element opțional pentru infrastructurile critice. De fapt, aceasta poate face diferența între un simplu raport de incident și o urgență de sănătate publică.
„ Firewall: Breaking the „” îi poartă pe telespectatori de la sălile conferințelor dedicate securității la demonstrații practice care arată exact cum eșuează firewall-urile și ce trebuie să le înlocuiască. Urmăriți primul episod și aflați ce este necesar pentru a asigura securitatea infrastructurii critice a Americii.
