Næsten 1.800 vandforsyninger fundet eksponeret for infostealer-malware

En ny rapport fra sikkerhedsfirmaet SpyCloud har identificeret aktiv infostealer-malware-eksponering på tværs af næsten 1.800 vandsystemer og forsyningsselskaber registreret hos Environmental Protection Agency (EPA). Fundene, der udelukkende er rapporteret af CyberScoop, tilføjer en ny dimension til den langvarige bekymring for cybersikkerheden i Amerikas vandinfrastruktur: en, der ikke har rod i ældre industrielle kontrolsystemer, men i stjålne medarbejder- og leverandørlegitimationsoplysninger, der stille cirkulerer på kriminelle markedspladser.

Infostealer-malware er designet til at ligge på en enhed, ofte efter at en bruger har klikket på et ondsindet link eller downloadet en kompromitteret fil, og suge gemte adgangskoder, browsercookies, autofill-data og godkendelsestokens ud. Den stjålne information pakkes derefter og sælges eller byttes blandt cyberkriminelle. Ifølge SpyClouds analyse er omfanget af eksponering blandt vandforsyninger så udbredt, at det antyder en systemisk forsyningskæderisiko snarere end en håndfuld isolerede hændelser.

Hvorfor infostealer-eksponering er et privatlivsproblem, ikke kun et sikkerhedsproblem

Det meste dækning af cybersikkerhed i vandsystemer fokuserer på operationel risiko: muligheden for, at hackere kan manipulere pumper, ventiler eller behandlingskemikalier. Denne risiko er reel og veldokumenteret. Men SpyClouds fund fremhæver et mere stille, lige så alvorligt problem: den personlige privatlivseksponering af de medarbejdere og entreprenører, der holder disse systemer kørende.

Infostealer-logfiler fanger typisk langt mere end virksomhedens loginoplysninger. De kan omfatte personlige e-mailadgangskoder, bank-sessionscookies og browserhistorik knyttet til en persons hjemmecomputer, især når medarbejdere bruger personlige enheder til fjernadgang eller blander arbejde og personlig browsing på samme maskine. Når disse data ender på en kriminel markedsplads, er det ikke kun forsyningsselskabets netværk, der er i fare. Medarbejderens personlige identitet, økonomi og andre onlinekonti bliver også eksponeret.

Det er her, infostealer-eksponering adskiller sig fra et typisk databrud. Et brud involverer normalt, at en enkelt virksomheds systemer kompromitteres direkte. Infostealer-infektioner stammer derimod ofte fra en persons enhed, nogle gange helt uden forbindelse til arbejdsgiverens netværkssikkerhed. Men når først legitimationsoplysninger er stjålet, kan de genbruges til at trænge ind i virksomhedssystemer, leverandørportaler eller tredjepartssoftware, der bruges på tværs af vandsektoren. Denne dynamik hjælper med at forklare, hvorfor SpyCloud betragter dette som et forsyningskædeproblem: en enkelt inficeret bærbar computer tilhørende en entreprenør eller leverandørmedarbejder kan skabe et fodfæste, der breder sig til flere forsyningsselskaber.

En sektor, der allerede er under lup

Vandforsyninger har været genstand for stigende cybersikkerhedsmæssig opmærksomhed i de senere år, fra føderale advarsler om eksponeret industrielt kontroludstyr til generalinspektørens vurderinger, der flagger højrisikomangler ved drikkevandssystemer landsdækkende. Infostealer-malware steg bredt i 2024, hvor sikkerhedsforskere sporede titusindvis af millioner af inficerede værter og milliarder af stjålne legitimationsoplysninger, der cirkulerer på kriminelle fora. Vandforsyninger, hvoraf mange er små kommunale drift med begrænset IT-personale og budgetter, er ikke immune over for denne bredere tendens.

Det, der gør vandsektoren særligt følsom, er kombinationen af kritisk infrastrukturstatus og ressourcebegrænsninger. Store forsyningsselskaber kan have dedikerede sikkerhedsteams, der overvåger lækkede legitimationsoplysninger, men tusindvis af mindre systemer, der betjener individuelle byer og amter, mangler ofte helt denne kapacitet. SpyClouds rapport antyder, at infostealer-eksponering ikke er koncentreret blandt få store mål, men spredt over en stor del af de cirka titusindvis af vandsystemer, som EPA fører tilsyn med, hvoraf mange er afhængige af fælles leverandører og entreprenører, der kan udgøre et fælles fejlpunkt.

Hvad dette betyder for dig

Hvis du arbejder for eller er entreprenør for et vandforsyningsselskab, eller blot bor i et samfund, der betjenes af et, er denne rapport en påmindelse om, at infrastruktursikkerhed i stigende grad afhænger af individuel digital hygiejne, ikke kun institutionel IT-politik. Infostealer-malware spredes typisk gennem phishing-e-mails, ondsindede annoncer, cracket software og falske browseropdateringer, hvilket betyder, at enhver medarbejders personlige enhed kan blive et indgangspunkt til et kritisk system.

For den brede offentlighed er den direkte risiko begrænset: denne rapport indikerer ikke, at nogen vandforsyning er blevet manipuleret. Men den understreger, hvor sammenknyttede privatliv og infrastruktursikkerhed er blevet. Legitimationstyveri rettet mod en enkelt person kan i sidste ende påvirke offentlige tjenester, som hele samfund er afhængige af.

Praktiske næste skridt

Forsyningsselskaber og deres leverandører kan reducere denne risiko ved at overvåge eksponerede legitimationsoplysninger knyttet til deres domæner, håndhæve multifaktor-godkendelse, så en stjålet adgangskode alene ikke er nok til at få adgang, og adskille personlig og arbejdsmæssig enhedsbrug, hvor det er muligt. Personer, der arbejder i eller omkring kritiske infrastruktursektorer, bør behandle genbrug af adgangskoder og uhåndterede personlige enheder som reelle organisatoriske risici, ikke bare personlige gener.

SpyClouds fund vil ikke være det sidste ord om infostealer-eksponering i kritisk infrastruktur. Efterhånden som malware-as-a-service-operationer fortsætter med at skalere, kan man forvente, at flere sektorer, ikke kun vandforsyninger, vil stå over for lignende granskning af legitimationbaseret forsyningskæderisiko i de kommende måneder.