Un attacco informatico iraniano sui sistemi idrici del Minnesota segnala un cambiamento di motivazione
Un attacco informatico coordinato contro la tecnologia operativa (OT) di oltre 30 sistemi idrici e fognari comunitari in tutto il Minnesota è ora attribuito a un attore sponsorizzato dallo stato iraniano. A differenza degli incidenti ransomware che dominano i titoli dei giornali, questa campagna non ha lasciato alcuna richiesta di riscatto né alcuna richiesta di pagamento. Secondo le segnalazioni di allerta sulle violazioni, quell'assenza è il dettaglio su cui gli investigatori si stanno concentrando maggiormente: ciò esclude l'estorsione finanziaria e indica un mandato di disruption politicamente motivato.
L'attacco, che si è sviluppato in un breve arco di tempo alla fine di luglio, ha preso di mira i sistemi di controllo industriale che gestiscono il trattamento e la distribuzione dell'acqua in decine di comunità del Minnesota. Se desideri la cronologia completa di come l'incidente si è diffuso in oltre 30 sistemi in soli due giorni, la nostra precedente copertura dell'attacco informatico all'acqua in Minnesota illustra il rilevamento iniziale e la risposta.
Perché l'assenza della richiesta di riscatto cambia il calcolo
La maggior parte dei gruppi criminali informatici che si infiltrano nelle reti dei servizi pubblici sono a caccia di denaro. Criptano i dati, bloccano gli operatori fuori dai sistemi e lasciano istruzioni per un pagamento in criptovaluta. Quel modus operandi è abbastanza familiare che i soccorritori informatici spesso trattano la stessa richiesta di riscatto come un'impronta digitale, aiutandoli a identificare il gruppo dietro un attacco e a prevedere la sua prossima mossa.
Questa campagna ha infranto completamente quel modello. Senza alcuna richiesta di estorsione e senza alcun tentativo di monetizzare l'intrusione, la teoria di lavoro tra gli investigatori è che l'obiettivo fosse la disruption fine a se stessa, o una dimostrazione di capacità. Questa distinzione è importante perché cambia il modo in cui le utility, i regolatori e i residenti dovrebbero pensare al rischio. Un attaccante motivato finanziariamente vuole che i sistemi tornino online rapidamente una volta pagato. Un attore sponsorizzato dallo stato che persegue un mandato di disruption non ha tale incentivo, il che può rendere le tempistiche di ripristino meno prevedibili e l'intento sottostante più difficile da negoziare.
Parte di un modello più ampio di targeting OT sponsorizzato dagli stati
Le utility idriche e fognarie sono diventate un bersaglio sempre più visibile per i gruppi di hacker legati a stati esteri negli ultimi due anni, in gran parte perché combinano una funzione pubblica critica con, in molti casi, team di sicurezza informatica scarsamente dotati di risorse. I sistemi comunali di piccole e medie dimensioni spesso eseguono controllori logici programmabili (PLC) legacy e apparecchiature OT che non sono mai state progettate pensando al panorama delle minacce odierne, rendendoli punti di ingresso interessanti per attori che cercano di dimostrare di poter raggiungere l'infrastruttura fisica.
Questo non è un fenomeno isolato limitato a un unico stato-nazione o a un unico settore. Il nostro reportage su un nuovo contractor informatico cinese smascherato mostra come più stati stiano costruendo ecosistemi di contractor specificamente per supportare campagne di intrusione contro infrastrutture e reti estere. Che l'attore sia iraniano, cinese o di altro tipo, il filo conduttore è un crescente appetito per l'accesso a sistemi che storicamente erano considerati troppo oscuri o troppo locali per valere la pena di essere presi di mira.
Cosa significa per te
Se vivi in una delle comunità del Minnesota colpite, la preoccupazione immediata è semplice: l'acqua è sicura e il servizio è affidabile? I funzionari che stanno indagando su questo incidente non hanno indicato un'emergenza di salute pubblica direttamente collegata all'intrusione, ma qualsiasi interruzione dei sistemi OT in un'azienda idrica richiede un attento monitoraggio da parte delle autorità locali e una continua trasparenza con i residenti.
Oltre all'incidente immediato, c'è una dimensione di privacy e sicurezza che vale la pena comprendere. Gli attacchi alla tecnologia operativa differiscono dalle violazioni di dati che la maggior parte delle persone associa agli "attacchi informatici". In genere non viene rubato alcun database clienti, né vengono esposte informazioni personali per la vendita. Invece, il rischio riguarda l'affidabilità e l'integrità dei servizi fisici da cui le persone dipendono ogni giorno. Questo rende la vicenda meno una storia di privacy personale e più una storia di sicurezza pubblica e resilienza dell'infrastruttura, sebbene i due aspetti siano sempre più intrecciati man mano che più sistemi comunali digitalizzano le loro operazioni ed estendono l'accesso remoto per manutenzione e monitoraggio.
Per gli amministratori IT e OT comunali, la lezione non riguarda tanto un singolo attore della minaccia, quanto il crescente volume di attenzione che i sistemi idrici stanno ricevendo in generale. Misure di base di hardening, segmentazione della rete tra ambienti IT e OT e l'applicazione rapida di patch ai sistemi di controllo esposti a Internet rimangono le difese più efficaci, indipendentemente da chi ci sia dietro il prossimo tentativo.
Punti chiave su cui agire
I residenti delle comunità colpite dovrebbero prestare attenzione agli aggiornamenti ufficiali del loro servizio idrico locale piuttosto che fare affidamento su resoconti di seconda mano, poiché le utility sono in genere le prime a sapere degli impatti sul servizio. I funzionari comunali che supervisionano i sistemi idrici e fognari dovrebbero considerare questo incidente come un incentivo a verificare i punti di accesso remoto nelle reti OT e a confermare che i sistemi di controllo non siano direttamente esposti a Internet pubblico. E chiunque segua la tendenza più ampia degli attacchi sponsorizzati dagli stati all'infrastruttura statunitense dovrebbe riconoscere che l'incidente del Minnesota si inserisce in un modello piuttosto che essere un caso isolato: gli operatori di infrastrutture critiche di tutte le dimensioni sono ora pienamente nel mirino di attori legati a stati esteri, e l'assenza di una richiesta di riscatto non significa assenza di rischio.
