A minnesotai vízrendszerek elleni iráni kibertámadás a motiváció változását jelzi

Egy összehangolt kibertámadást, amely több mint 30 Minnesota állambeli közösségi víz- és szennyvízrendszer operatív technológiáját (OT) vette célba, immár egy iráni állami támogatású szereplőnek tulajdonítanak. A hírekben uralkodó zsarolóvírusos esetekkel ellentétben ez a kampány nem hagyott hátra váltságdíjüzenetet, és nem követelt fizetést. Az adatvédelmi riasztások szerint éppen ez a hiányosság az, amire a nyomozók leginkább összpontosítanak: ez a pénzügyi zsarolás helyett inkább politikailag motivált zavarkeltési megbízás felé mutat.

A támadás, amely július végén egy rövid időablakban zajlott le, azokat az ipari vezérlőrendszereket célozta, amelyek Minnesota több tucat közösségében a vízkezelést és -elosztást működtetik. Ha részletes idővonalra kíváncsi arról, hogyan terjedt el az incidens több mint 30 rendszerre mindössze két nap alatt, korábbi tudósításunk a minnesotai vízügyi kibertámadásról bemutatja a kezdeti észlelést és a válaszlépéseket.

Miért változtatja meg a helyzetértékelést a váltságdíjüzenet hiánya

A legtöbb közüzemi hálózatokba behatoló kiberbűnözői csoport a pénzt hajszolja. Adatokat titkosítanak, kizárják az üzemeltetőket a rendszerekből, és kriptopénzes fizetési utasításokat hagynak hátra. Ez a forgatókönyv annyira ismert, hogy az incidenskezelők gyakran ujjlenyomatként kezelik magát a váltságdíjüzenetet, ami segít azonosítani a támadás mögött álló csoportot és megjósolni a következő lépését.

Ez a kampány teljesen felrúgta ezt a mintát. Zsarolási követelés és a behatolás pénzzé tételének bármilyen kísérlete nélkül a nyomozók körében az a munkahipotézis, hogy a cél a zavarkeltés volt önmagáért, vagy képességfitogtatásként. Ez a különbségtétel azért fontos, mert megváltoztatja, hogy a közművek, szabályozók és lakosok hogyan gondolkodjanak a kockázatról. Egy pénzügyileg motivált támadó mielőbb újra üzembe akarja helyezni a rendszereket, amint megkapja a fizetséget. Egy zavarkeltési megbízást teljesítő állami szereplőnek nincs ilyen ösztönzője, ami miatt a helyreállítás időtartama kevésbé kiszámítható, és a mögöttes szándékot sem lehet könnyen eltárgyalni.

Az államilag támogatott OT-támadások szélesebb mintázatának része

Az ivóvíz- és szennyvízközművek az elmúlt két évben egyre láthatóbb célponttá váltak a külföldi állami kötődésű hackercsoportok számára, nagyrészt azért, mert kritikus közfunkciót töltenek be, miközben sok esetben szűkös erőforrásokkal rendelkező kiberbiztonsági csapatokkal dolgoznak. A kis- és közepes méretű önkormányzati rendszerek gyakran örökölt programozható logikai vezérlőket (PLC) és olyan OT-berendezéseket üzemeltetnek, amelyeket soha nem a mai fenyegetettségi környezetre terveztek, így vonzó belépési pontot jelentenek azok számára, akik azt akarják bizonyítani, hogy el tudják érni a fizikai infrastruktúrát.

Ez nem elszigetelt jelenség, amely egyetlen nemzetállamra vagy egyetlen ágazatra korlátozódik. Egy újonnan leleplezett kínai kibervállalkozóról szóló tudósításunk bemutatja, hogyan építenek ki több állam is kifejezetten külföldi infrastruktúra és hálózatok elleni behatolási kampányok támogatására vállalkozói ökoszisztémákat. Legyen a támadó iráni, kínai vagy bármilyen más, a közös szál a növekvő étvágy az olyan rendszerekhez való hozzáférés iránt, amelyeket történelmileg túl homályosnak vagy túl lokálisnak tartottak ahhoz, hogy érdemes legyen célba venni.

Mit jelent ez Önnek?

Ha valamelyik érintett minnesotai közösségben él, az azonnali aggodalom egyértelmű: biztonságos-e a víz, és megbízható-e a szolgáltatás? Az incidenst vizsgáló hatóságok nem jeleztek közegészségügyi vészhelyzetet, amely közvetlenül a behatoláshoz köthető, azonban a vízközmű OT-rendszereit érintő bármilyen zavar indokolja a helyi hatóságok szoros nyomon követését és a lakosok folyamatos tájékoztatását.

A közvetlen incidenstől eltekintve van egy adatvédelmi és biztonsági dimenzió, amit érdemes megérteni. Az operatív technológiát érő támadások eltérnek azoktól az adatszivárgásoktól, amelyeket a legtöbben a „kibertámadásokhoz” társítanak. Általában nem lopnak el ügyfél-adatbázist, és nem kerülnek nyilvánosságra személyes adatok eladásra. Ehelyett a kockázat azoknak a fizikai szolgáltatásoknak a megbízhatóságára és sértetlenségére irányul, amelyekre az emberek nap mint nap támaszkodnak. Így ez kevésbé személyes adatvédelmi történet, inkább közbiztonsági és infrastrukturális ellenálló képességi kérdés, bár a kettő egyre inkább összefonódik, mivel egyre több önkormányzati rendszer digitalizálja működését és bővíti a távoli hozzáférést karbantartás és felügyelet céljából.

Az önkormányzati IT- és OT-rendszergazdák számára a tanulság kevésbé egy konkrét fenyegető szereplőről szól, sokkal inkább arról a növekvő figyelemről, amelyet a vízrendszerek általában kapnak. Az alapvető védelmi intézkedések, az IT- és OT-környezetek közötti hálózatszegmentálás, valamint az internet felé nyitott vezérlőrendszerek gyors javítása továbbra is a leghatékonyabb védekezést jelentik, függetlenül attól, hogy ki áll a következő kísérlet mögött.

Hasznosítható tanulságok

Az érintett közösségek lakóinak a helyi vízmű hivatalos frissítéseit kell figyelniük, ahelyett, hogy másodkézből származó jelentésekre hagyatkoznának, mivel a szolgáltatási hatásokról általában a közművek értesülnek elsőként. A víz- és szennyvízhálózatokat felügyelő önkormányzati tisztviselőknek ezt az incidenst arra kell használniuk, hogy ellenőrizzék az OT-hálózatok távoli hozzáférési pontjait, és megbizonyosodjanak arról, hogy a vezérlőrendszerek nincsenek közvetlenül kitéve a nyilvános internetnek. Mindazoknak pedig, akik figyelemmel kísérik az amerikai infrastruktúra elleni államilag támogatott támadások szélesebb trendjét, fel kell ismerniük, hogy a minnesotai eset egy mintázatba illeszkedik, nem pedig elszigetelt jelenség: a különböző méretű kritikus infrastruktúra-üzemeltetők most már határozottan a külföldi állami kötődésű szereplők radarképernyőjén vannak, és a váltságdíjkövetelés hiánya nem jelenti a kockázat hiányát.