CISA slaat alarm over aanvallen op de watersector

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft een waarschuwing afgegeven over een aanzienlijke toename van aanvallen op via het internet toegankelijke programmeerbare logische controllers (PLC's) die in de drinkwater- en afvalwatersector worden gebruikt. Deze apparaten vormen het digitale werkpaard achter zuiveringsinstallaties en distributiesystemen; ze sturen pompen, kleppen en chemische dosering aan die ervoor zorgen dat drinkwater veilig blijft en afvalwater correct wordt gezuiverd.

De waarschuwing van de dienst geeft aan dat kwaadwillenden steeds vaker PLC's aftasten en misbruiken die rechtstreeks met het internet zijn verbonden, vaak voor bewaking op afstand of onderhoudsgemak. Wanneer deze industriële besturingsapparaten zonder adequate beveiliging aan het internet worden blootgesteld, vormen ze een makkelijk toegangspunt voor aanvallers die eerder uit zijn op het verstoren van de bedrijfsvoering dan op het stelen van gegevens.

Dit is geen geïsoleerd technisch voetnootje. Drinkwater- en afvalwaterbedrijven behoren tot de vitale infrastructuur van het land, en de waarschuwing van CISA weerspiegelt een breder patroon: essentiële diensten die nooit zijn ontworpen met moderne netwerkbeveiliging in gedachten, staan nu open en bloot op het internet, bereikbaar voor iedereen die scant op kwetsbare poorten.

Waarom PLC's een groeiend doelwit zijn

Programmeerbare logische controllers werden tientallen jaren geleden gebouwd om fysieke processen betrouwbaar aan te sturen, niet om cyberaanvallen te weerstaan. Veel PLC's draaien nog op verouderde firmware, gebruiken zwakke of standaard inloggegevens en missen basale authenticatiebeveiliging. Terwijl nutsbedrijven hun activiteiten hebben gemoderniseerd door externe toegang voor ingenieurs en monteurs toe te voegen, zijn sommige van deze controllers rechtstreeks via het internet bereikbaar geworden, zonder firewall of VPN ervoor.

Aanvallers hebben geen geavanceerde tools nodig om deze systemen te vinden. Zoekmachines die speciaal zijn gebouwd om met internet verbonden apparaten te scannen, maken het eenvoudig om blootgestelde PLC's te lokaliseren. Zodra ze zijn gevonden, kunnen zwakke inloggegevens of ongepatchte software een aanvaller de mogelijkheid geven om fysieke apparatuur te manipuleren, waardoor de dienstverlening aan huishoudens en bedrijven kan worden verstoord.

De waarschuwing van CISA maakt deel uit van een patroon van steeds agressievere aanvallen op operationele technologie (OT) binnen vitale infrastructuursectoren. Het weerspiegelt een bredere trend van aanvallers die creatieve manieren vinden om organisaties die essentiële diensten beheren binnen te dringen, vergelijkbaar met hoe de FBI heeft gewaarschuwd voor kwaadwillenden die zich fysiek voordoen als IT-personeel bij advocatenkantoren om toegang te krijgen. Of het nu gaat om blootgestelde hardware of social engineering, de gemene deler is dat aanvallers de zwakste schakel in de verdediging van een organisatie uitbuiten.

Hoe aanvallen op vitale infrastructuur verband houden met je thuisnetwerk

Het is makkelijk om te denken dat aanvallen op besturingssystemen van waterbedrijven volledig losstaan van persoonlijke cyberveiligheid, maar de onderliggende zwakheden lijken opvallend veel op wat veel huishoudens tegenkomen met hun eigen routers, slimme apparaten en IoT-gadgets.

Net zoals sommige waterbedrijven PLC's zonder de juiste beveiliging rechtstreeks aan het internet blootstelden, doen veel consumenten onbewust hetzelfde met thuisrouters, beveiligingscamera's en slimme thermostaten. Standaardwachtwoorden, verouderde firmware en open poorten voor externe toegang komen zowel bij een industrieel besturingssysteem als op een thuisnetwerk veel voor. De schaal is anders, maar de onderliggende kwetsbaarheid – onbeschermde apparaten die vanaf het open internet bereikbaar zijn – is dezelfde.

De aanbevolen oplossingen van CISA voor nutsbedrijven, waaronder het segmenteren van netwerken, het uitschakelen van onnodige externe toegang en het vereisen van veilige verbindingen zoals een VPN voor elk beheer op afstand, weerspiegelen precies het advies dat beveiligingsprofessionals aan huiseigenaren geven. Een VPN plaatsen tussen een externe gebruiker en een gevoelig apparaat, of dat nu een waterzuiveringscontroller of een huisbeveiligingscamera is, voegt een cruciale laag van authenticatie en versleuteling toe die voorkomt dat gewone aanvallers zomaar een open deur tegenkomen.

Wat dit voor jou betekent

Jij bent niet verantwoordelijk voor het beveiligen van een waterzuiveringsinstallatie, maar deze waarschuwing is een nuttige spiegel voor je eigen netwerk. Als het beheerpaneel van je thuisrouter, slimme camera of NAS-apparaat rechtstreeks via het internet bereikbaar is zonder een VPN of sterke authenticatie ervoor, dan heb je een kleinschaligere versie van precies het probleem waarvoor CISA nutsbedrijven waarschuwt.

Het goede nieuws is dat dit thuis oplossen veel eenvoudiger is dan het aanpassen van een decennia oud industrieel besturingssysteem. Overbodige beheerfuncties op afstand uitschakelen, standaard inloggegevens wijzigen, firmware updaten en een VPN gebruiken voor alle externe toegang tot je thuisnetwerk zijn allemaal haalbare stappen die je blootstelling aanzienlijk verminderen.

Praktische stappen om toe te passen

Begin met het controleren van je eigen netwerk op apparaten die op dezelfde manier blootgesteld kunnen zijn als deze PLC's. Log in op de instellingen van je router en schakel beheer op afstand uit, tenzij je het specifiek nodig hebt. Wijzig alle standaard gebruikersnamen en wachtwoorden op verbonden apparaten, waaronder camera's, thermostaten en netwerkopslag. Houd de firmware van je router en IoT-apparaten up-to-date, want veel misbruikte kwetsbaarheden zijn al door leveranciers gepatcht. Als je op afstand toegang tot je thuisnetwerk nodig hebt, gebruik dan een VPN in plaats van de beheerinterface van een apparaat rechtstreeks aan het internet bloot te stellen.

CISA's waarschuwing over cyberaanvallen op waterbedrijven herinnert ons eraan dat vitale infrastructuur en thuisnetwerken dezelfde fundamentele zwakheid delen: systemen die zonder adequate bescherming via het internet toegankelijk zijn, vormen een open uitnodiging. Nu een paar praktische stappen nemen kan die deur sluiten voordat iemand anders hem open vindt.