Iransk cyberangreb på vandsystemer i Minnesota signalerer et skift i motiv

Et koordineret cyberangreb mod operationel teknologi (OT) i mere end 30 kommunale vand- og spildevandssystemer i hele Minnesota tilskrives nu en iransk statssponsoreret aktør. I modsætning til de ransomware-episoder, der dominerer overskrifterne, efterlod denne kampagne ingen løsesumseddel og intet betalingskrav. Ifølge rapporter om brudsalarmer er dette fravær den detalje, efterforskerne fokuserer mest på: det peger væk fra økonomisk afpresning og i retning af et politisk motiveret disruptionsmandat.

Angrebet, der fandt sted over et kort tidsrum i slutningen af juli, var rettet mod de industrielle kontrolsystemer, der holder vandbehandling og -distribution kørende i dusinvis af lokalsamfund i Minnesota. Hvis du vil have den fulde tidslinje for, hvordan hændelsen spredte sig over mere end 30 systemer på blot to dage, vår tidligere dækning af Minnesota-vandcyberangrebet gennemgår den indledende detektion og respons.

Hvorfor den manglende løsesumseddel ændrer regnestykket

De fleste cyberkriminelle grupper, der infiltrerer forsyningsnetværk, er ude efter penge. De krypterer data, låser operatører ude af systemerne og efterlader instruktioner til en kryptovalutabetaling. Den fremgangsmåde er så velkendt, at beredskabsfolk ofte behandler selve løsesumsedlen som et fingeraftryk, der hjælper dem med at identificere gruppen bag et angreb og forudsige dens næste træk.

Denne kampagne brød helt med det mønster. Uden krav om afpresning og intet forsøg på at tjene penge på indtrængen, er den arbejdshypotese blandt efterforskerne, at målet var disruption for disruptionens skyld eller som en demonstration af kapacitet. Denne sondring er vigtig, fordi den ændrer, hvordan forsyningsselskaber, myndigheder og borgere bør tænke på risikoen. En økonomisk motiveret angriber ønsker systemerne hurtigt online igen, når betalingen er modtaget. En statssponsoreret aktør, der forfølger et disruptionsmandat, har intet sådant incitament, hvilket kan gøre genopretningstidslinjerne mindre forudsigelige og den underliggende hensigt sværere at forhandle sig fra.

Del af et bredere mønster af statssponsoreret OT-målretning

Vand- og spildevandsforsyninger er i løbet af de seneste to år blevet et stadig mere synligt mål for udenlandske statsrelaterede hackergrupper, hovedsageligt fordi de kombinerer kritisk offentlig funktion med i mange tilfælde sparsomme cybersikkerhedsteams. Små og mellemstore kommunale systemer kører ofte med forældede programmerbare logiske controllere (PLC'er) og OT-udstyr, der aldrig blev designet med nutidens trusselslandskab for øje, hvilket gør dem til attraktive indgangspunkter for aktører, der ønsker at bevise, at de kan nå fysisk infrastruktur.

Dette er ikke et isoleret fænomen begrænset til én nationalstat eller én sektor. Vores rapportering om en nyligt afsløret kinesisk cyberkontrahent viser, hvordan flere stater opbygger kontrahent-økosystemer specifikt for at understøtte indtrængningskampagner mod udenlandsk infrastruktur og netværk. Uanset om aktøren er iransk, kinesisk eller på anden måde, er den fælles tråd en voksende appetit på adgang til systemer, der historisk blev anset for at være for obskure eller for lokale til at være værd at målrette.

Hvad dette betyder for dig

Hvis du bor i et af de berørte lokalsamfund i Minnesota, er den umiddelbare bekymring ligetil: er vandet sikkert, og er forsyningen pålidelig? Myndigheder, der undersøger denne hændelse, har ikke indikeret en folkesundhedskrise direkte knyttet til indtrængen, men enhver forstyrrelse af OT-systemer i en vandforsyning berettiger tæt overvågning fra lokale myndigheders side og fortsat gennemsigtighed over for beboerne.

Ud over den umiddelbare hændelse er der en privatlivs- og sikkerhedsdimension, der er værd at forstå. Angreb på operationel teknologi adskiller sig fra de databrud, de fleste forbinder med "cyberangreb". Der bliver typisk ikke stjålet nogen kundedatabase, ingen personlige oplysninger eksponeres til salg. I stedet er risikoen rettet mod pålideligheden og integriteten af fysiske tjenester, som folk er afhængige af hver dag. Det gør dette mindre til en personlig privatlivshistorie og mere til en offentlig sikkerheds- og infrastrukturresilienshistorie, selvom de to i stigende grad er sammenflettet, efterhånden som flere kommunale systemer digitaliserer deres drift og udvider fjernadgang til vedligeholdelse og overvågning.

For kommunale IT- og OT-administratorer handler lektien mindre om en enkelt trusselsaktør og mere om den voksende opmærksomhed, som vandsystemer generelt modtager. Grundlæggende hærdningstiltag, netværkssegmentering mellem IT- og OT-miljøer og hurtig patching af internetvendte kontrolsystemer forbliver de mest effektive forsvar, uanset hvem der står bag det næste forsøg.

Konkrete handlingspunkter

Beboere i berørte lokalsamfund bør holde øje med officielle opdateringer fra deres lokale vandforsyning i stedet for at stole på andenhåndsrapporter, da forsyningsselskaberne typisk er de første til at kende til servicepåvirkninger. Kommunale embedsmænd, der fører tilsyn med vand- og spildevandssystemer, bør se denne hændelse som en anledning til at revidere fjernadgangspunkter til OT-netværk og bekræfte, at kontrolsystemer ikke er direkte eksponeret for det offentlige internet. Og alle, der følger den bredere tendens med statssponsorerede angreb på amerikansk infrastruktur, bør erkende, at hændelsen i Minnesota passer ind i et mønster snarere end at stå alene: operatører af kritisk infrastruktur af alle størrelser er nu direkte på radaren for udenlandske statsrelaterede aktører, og fraværet af et løsesumskrav betyder ikke fravær af risiko.