Иранската кибератака срещу водни системи в Минесота сигнализира промяна в мотивите

Координирана кибератака срещу операционните технологии (ОТ) на повече от 30 общински водоснабдителни и канализационни системи в Минесота вече се приписва на ирански държавно спонсориран участник. За разлика от инцидентите с ransomware, които доминират заглавията, тази кампания не остави бележка за откуп и никакво искане за плащане. Според докладите за сигнали за нарушения, точно това отсъствие е детайлът, върху който следователите се фокусират най-много: то сочи не към финансово изнудване, а към политически мотивиран мандат за разрушаване.

Атаката, която се разгърна в кратък период в края на юли, беше насочена към системите за индустриален контрол, които поддържат пречистването и разпределението на водата в десетки общности в Минесота. Ако искате пълната хронология на това как инцидентът се разпространи в повече от 30 системи само за два дни, нашето предишно отразяване на кибератаката срещу водни системи в Минесота разбива първоначалното откриване и реакция.

Защо липсващата бележка за откуп променя сметките

Повечето киберпрестъпни групи, които проникват в мрежи на комунални услуги, преследват пари. Те криптират данни, заключват операторите извън системите и оставят инструкции за плащане в криптовалута. Този сценарий е достатъчно познат, за да могат реагиращите при инциденти да третират самата бележка за откуп като пръстов отпечатък, който им помага да идентифицират групата зад атаката и да предвидят следващия ѝ ход.

Тази кампания напълно наруши този модел. Без искане за изнудване и без опит за монетизиране на проникването, работната теория сред следователите е, че целта е била разрушаване само по себе си или демонстрация на способности. Тази разлика има значение, защото променя начина, по който комуналните услуги, регулаторите и жителите трябва да мислят за риска. Финансово мотивиран нападател иска системите да се върнат бързо онлайн, след като получи плащане. Държавно спонсориран участник, преследващ мандат за разрушаване, няма такъв стимул, което може да направи сроковете за възстановяване по-малко предвидими, а основният мотив – по-трудно преодолим чрез преговори.

Част от по-широк модел на държавно спонсорирано насочване към ОТ

Водоснабдителните и канализационните комунални услуги се превърнаха във все по-видима цел за чуждестранни хакерски групи, свързани с държави, през последните две години, главно защото съчетават критична обществена функция с, в много случаи, слабо ресурсно обезпечени екипи по киберсигурност. Малките и средните общински системи често работят с наследени програмируеми логически контролери (PLC) и ОТ оборудване, което никога не е било проектирано с мисъл за днешния пейзаж на заплахите, което ги прави привлекателни входни точки за участници, които искат да докажат, че могат да достигнат физическа инфраструктура.

Това не е изолиран феномен, ограничен до една национална държава или един сектор. Нашето отразяване на новоразкрит китайски кибер подизпълнител показва как множество държави изграждат екосистеми от подизпълнители специално за подпомагане на кампании за проникване срещу чужда инфраструктура и мрежи. Независимо дали участникът е ирански, китайски или друг, общата нишка е нарастващият апетит за достъп до системи, които исторически се смятаха за твърде неясни или твърде локални, за да си заслужава да бъдат атакувани.

Какво означава това за вас

Ако живеете в една от засегнатите общности в Минесота, непосредствената загриженост е ясна: безопасна ли е водата и надеждно ли е обслужването? Служителите, разследващи този инцидент, не са посочили спешна ситуация за общественото здраве, пряко свързана с проникването, но всяко нарушаване на ОТ системи в комунално водно дружество изисква внимателно наблюдение от местните власти и продължаваща прозрачност с жителите.

Отвъд непосредствения инцидент има измерение на поверителност и сигурност, което си заслужава да бъде разбрано. Атаките срещу операционни технологии се различават от пробивите на данни, които повечето хора свързват с „кибератаки“. Обикновено не се краде клиентска база данни, не се излага лична информация за продажба. Вместо това рискът е за надеждността и целостта на физическите услуги, от които хората зависят всеки ден. Това прави този случай по-малко история за лична поверителност и повече история за обществена безопасност и устойчивост на инфраструктурата, въпреки че двете все повече се преплитат, тъй като все повече общински системи дигитализират своите операции и разширяват отдалечения достъп за поддръжка и наблюдение.

За общинските ИТ и ОТ администратори урокът е по-малко за конкретен участник в заплахата и повече за нарастващия обем внимание, което водните системи получават като цяло. Основните мерки за укрепване, мрежовата сегментация между ИТ и ОТ среди и бързото инсталиране на пачове за контролни системи с лице към интернет остават най-ефективните защити, независимо кой стои зад следващия опит.

Практически изводи

Жителите в засегнатите общности трябва да следят официалните актуализации от местното водно дружество, вместо да разчитат на доклади от втора ръка, тъй като дружествата обикновено първи научават за въздействия върху услугите. Общинските служители, които надзирават водоснабдителни и канализационни системи, трябва да третират този инцидент като подтик да одитират точките за отдалечен достъп до ОТ мрежите и да потвърдят, че контролните системи не са директно изложени на публичния интернет. И всеки, който следи по-широката тенденция на държавно спонсорирани атаки срещу инфраструктурата на САЩ, трябва да признае, че инцидентът в Минесота се вписва в модел, вместо да стои самостоятелно: операторите на критична инфраструктура от всякакъв мащаб вече са директно в радара на чуждестранни държавно свързани участници, а липсата на искане за откуп не означава липса на риск.