Lähes 1 800 vesilaitosta havaittu alttiiksi infostealer-haittaohjelmille

Turvallisuusyritys SpyCloudin uusi raportti on tunnistanut aktiivisen infostealer-haittaohjelma-altistuksen lähes 1 800:ssa Yhdysvaltain ympäristönsuojeluvirastoon (EPA) rekisteröidyssä vesijärjestelmässä ja -laitoksessa. CyberScoopin yksinoikeudella raportoimat löydökset tuovat uuden ulottuvuuden pitkäaikaisiin huoliin Amerikan vesihuollon kyberturvallisuudesta: huolen, joka ei juonnu vanhenevista teollisuuden ohjausjärjestelmistä, vaan rikollisilla markkinapaikoilla hiljaisesti kiertävistä varastetuista työntekijöiden ja toimittajien tunnistetiedoista.

Infostealer-haittaohjelma on suunniteltu asettumaan laitteelle – usein sen jälkeen, kun käyttäjä on klikannut haitallista linkkiä tai ladannut vaarannetun tiedoston – ja imemään talteen tallennetut salasanat, selaimen evästeet, automaattisen täytön tiedot ja todennustunnukset. Varastetut tiedot paketoidaan ja myydään tai vaihdetaan kyberrikollisten kesken. SpyCloudin analyysin mukaan altistuksen laajuus vesilaitosten keskuudessa on niin laaja, että se viittaa systeemiseen toimitusketjuriskiin yksittäisten eristettyjen tapausten sijaan.

Miksi infostealer-altistus on yksityisyysongelma, ei vain tietoturvaongelma

Suurin osa vesijärjestelmien kyberturvallisuutta koskevasta uutisoinnista keskittyy operatiiviseen riskiin: mahdollisuuteen, että hakkerit voisivat manipuloida pumppuja, venttiilejä tai käsittelykemikaaleja. Tämä riski on todellinen ja hyvin dokumentoitu. Mutta SpyCloudin löydökset tuovat esiin hiljaisemman, yhtä vakavan ongelman: näitä järjestelmiä ylläpitävien työntekijöiden ja urakoitsijoiden henkilökohtaisen yksityisyyden vaarantumisen.

Infostealer-lokit tallentavat tyypillisesti paljon muutakin kuin yritysten kirjautumistunnukset. Ne voivat sisältää henkilökohtaisia sähköpostisalasanoja, pankkisessioiden evästeitä ja selaushistoriaa, jotka liittyvät yksilön kotitietokoneeseen – erityisesti silloin, kun työntekijät käyttävät henkilökohtaisia laitteita etäkäyttöön tai sekoittavat työhön ja henkilökohtaiseen käyttöön liittyvää selailua samalla laitteella. Kun nämä tiedot päätyvät rikolliselle markkinapaikalle, vaarassa ei ole vain laitoksen verkko. Myös työntekijän henkilöllisyys, talous ja muut verkkotilit vaarantuvat.

Tässä infostealer-altistus eroaa tyypillisestä tietomurrosta. Tietomurto koskee yleensä yksittäisen yrityksen järjestelmiä, jotka on murrettu suoraan. Infostealer-tartunnat sen sijaan saavat alkunsa usein yksilön laitteelta, joskus täysin riippumatta työnantajan verkkoturvallisuudesta. Kun tunnistetiedot on kuitenkin varastettu, niitä voidaan käyttää uudelleen tunkeutumiseen yritysjärjestelmiin, toimittajaporttaaleihin tai vesialalla laajalti käytettyihin kolmannen osapuolen ohjelmistoihin. Tämä dynamiikka auttaa selittämään, miksi SpyCloud kehystää asian toimitusketjuongelmaksi: yksikin urakoitsijan tai toimittajan työntekijän saastunut kannettava tietokone voi luoda jalansijan, joka heijastuu useisiin laitoksiin.

Ala, joka on jo tarkkailun kohteena

Vesilaitokset ovat kohdanneet kasvavaa kyberturvallisuushuomiota viime vuosina: liittovaltion varoituksista koskien altistuneita teollisuuden ohjauslaitteita aina pääjohtajan tarkastusarviointeihin, joissa on liputettu korkean riskin puutteita juomavesijärjestelmissä eri puolilla maata. Infostealer-haittaohjelmat yleistyivät laajasti vuonna 2024, ja tietoturvatutkijat jäljittivät kymmeniä miljoonia saastuneita laitteita ja miljardeja varastettuja tunnistetietoja, jotka kiertävät rikollisilla foorumeilla. Vesilaitokset, joista monet ovat pieniä kunnallisia toimijoita, joilla on rajalliset IT-resurssit ja budjetit, eivät ole immuuneja tälle laajemmalle trendille.

Vesialan erityisen herkäksi tekee kriittisen infrastruktuurin aseman ja resurssirajoitusten yhdistelmä. Suurilla laitoksilla voi olla omat turvatiimit seuraamassa tunnistetietovuotoja, mutta tuhansilla pienemmillä järjestelmillä, jotka palvelevat yksittäisiä kaupunkeja ja piirikuntia, ei usein ole tätä kapasiteettia lainkaan. SpyCloudin raportti viittaa siihen, että infostealer-altistus ei ole keskittynyt muutamiin suuriin kohteisiin, vaan levinnyt laajalle alueelle noin kymmenientuhansien EPA:n valvomien vesijärjestelmien joukossa – joista monet nojaavat yhteisiin toimittajiin ja urakoitsijoihin, jotka voivat toimia yhteisenä vikapisteenä.

Mitä tämä tarkoittaa sinulle

Jos työskentelet vesilaitokselle tai sen urakoitsijana, tai yksinkertaisesti asut yhteisössä, jota sellainen palvelee, tämä raportti muistuttaa, että infrastruktuurin turvallisuus riippuu yhä enemmän yksilön digitaalisesta hygieniasta, ei vain institutionaalisesta IT-politiikasta. Infostealer-haittaohjelmat leviävät tyypillisesti tietojenkalastelusähköpostien, haitallisten mainosten, krakattujen ohjelmistojen ja väärennettyjen selainpäivitysten kautta, mikä tarkoittaa, että kenen tahansa työntekijän henkilökohtainen laite voi muodostua sisäänkäyntipisteeksi kriittiseen järjestelmään.

Suurelle yleisölle suora riski on rajallinen: tämä raportti ei osoita, että mihinkään vesihuoltoon olisi kajottu. Se kuitenkin korostaa, kuinka yhteenkietoutuneita yksityisyys ja infrastruktuurin turvallisuus ovat nykyään. Yksilöön kohdistuva tunnistetietojen varastaminen voi lopulta vaikuttaa julkisiin palveluihin, joiden varassa kokonaiset yhteisöt ovat.

Käytännön askeleet eteenpäin

Laitokset ja niiden toimittajat voivat vähentää tätä riskiä seuraamalla domaineihinsa liittyviä paljastuneita tunnistetietoja, ottamalla käyttöön monivaiheisen todennuksen, jotta pelkkä varastettu salasana ei riitä pääsyn saamiseen, ja erottamalla henkilökohtaisen ja työhön liittyvän laitteiden käytön mahdollisuuksien mukaan. Kriittisen infrastruktuurin aloilla työskentelevien tai niiden lähellä toimivien yksilöiden tulisi suhtautua salasanojen uudelleenkäyttöön ja hallitsemattomiin henkilökohtaisiin laitteisiin todellisina organisatorisina riskeinä, ei vain henkilökohtaisina haittoina.

SpyCloudin löydökset eivät tule olemaan viimeinen sana infostealer-altistuksesta kriittisessä infrastruktuurissa. Kun haittaohjelma-palveluna-toiminta jatkaa laajenemistaan, odotettavissa on, että yhä useammat alat – eivät vain vesilaitokset – kohtaavat vastaavaa tarkastelua tunnistetietoihin perustuvasta toimitusketjuriskistä tulevina kuukausina.