Duizenden watercontrollers nog steeds online zichtbaar
Nieuw onderzoek heeft meer dan 4.000 industriële controllers van Rockwell Automation geïdentificeerd die rechtstreeks met het internet zijn verbonden, waarvan vele gekoppeld aan Amerikaanse waterbedrijven. Van de blootgestelde apparaten werden er 22 herleid naar steden die al eerder doelwit zijn geweest van cyberaanvallen op de waterinfrastructuur. De bevindingen roepen een ongemakkelijke vraag op voor de watersector: waarom zijn, na jaren van federale waarschuwingen, nog zoveel kritieke systemen zichtbaar voor iedereen die het internet scant?
De blootgestelde apparatuur omvat programmeerbare logische controllers (PLC's), de kleine industriële computers die fysieke processen beheren zoals waterdruk, chemische dosering en pompbediening. Dit zijn geen consumentenapparaten die achter een thuisrouter zitten. Ze horen geïsoleerd te zijn op beschermde interne netwerken, alleen toegankelijk voor geautoriseerde operators. Wanneer een PLC bereikbaar is vanaf het open internet, wordt het een potentieel toegangspunt voor iedereen met de juiste tools en motivatie, van opportunistische scanners tot aan statelijke dreigingsactoren.
Waarom blootgestelde industriële controllers een privacy- en veiligheidsprobleem zijn
Het is verleidelijk om dit onder 'industriële cybersecurity' te scharen en over te gaan tot de orde van de dag, maar blootgestelde industriële controllers hebben gevolgen die veel verder reiken dan IT-afdelingen. Waterbedrijven houden operationele gegevens, klantgegevens en infrastructuurdetails bij die, wanneer ze worden blootgesteld of gemanipuleerd, hele gemeenschappen raken. Een gecompromitteerde controller is niet alleen een risico voor de gegevensprivacy; het is een risico voor de openbare veiligheid, aangezien aanvallers die toegang krijgen tot een PLC in theorie zuiveringsprocessen kunnen wijzigen of de dienstverlening kunnen verstoren.
Dit is in bredere zin ook fundamenteel een privacyverhaal. Afnemers van nutsbedrijven hebben geen zicht op de vraag of de infrastructuur die hun water levert veilig is, en geen zinvolle manier om zich eraan te onttrekken als dat niet het geval is. In tegenstelling tot een gehackte winkel of een sociaal mediaplatform kun je niet van aanbieder veranderen wanneer jouw gemeentelijke watervoorziening degene is die blootgestelde apparatuur gebruikt. De last van privacy en veiligheid rust volledig bij de beheerders die, volgens dit onderzoek, consequent de federale richtlijnen om deze systemen offline te halen of juist van het openbare internet te segmenteren, niet hebben opgevolgd.
Een patroon van waarschuwingen die het gat niet hebben gedicht
Federale instanties hebben waterbedrijven en andere kritieke infrastructuurbeheerders herhaaldelijk aangespoord om aan het internet gekoppelde industriële controlesystemen te verwijderen, sterke authenticatie af te dwingen en operationele technologienetwerken te scheiden van zakelijke IT. Ondanks die richtlijnen toont de scan achter dit onderzoek aan dat het probleem op grote schaal blijft bestaan, met duizenden controllers die nog steeds te ontdekken zijn met eenvoudige internet-scanhulpmiddelen waarvoor geen speciale toegang of verfijning nodig is.
Het feit dat 22 van de blootgestelde apparaten zich bevinden in steden die al eerder doelwit zijn geweest van aanvallen op watersystemen, is bijzonder opmerkelijk. Het suggereert dat zelfs nadat een incident de aandacht op een specifiek nutsbedrijf of regio heeft gevestigd, de onderliggende blootstelling niet noodzakelijkerwijs wordt aangepakt. Bewustwording alleen vertaalt zich niet in actie, of het nu komt door budgetbeperkingen, personeelstekorten of de pure complexiteit van het achteraf inbouwen van beveiliging in een infrastructuur die nooit is ontworpen met internetverbinding in gedachten.
Dit weerspiegelt een breder patroon dat te zien is in sectoren die onder druk staan van cyberdreigingen. In de gezondheidszorg bijvoorbeeld hebben instanties actief organisaties moeten aansporen om gegevens over ransomware-dreigingen te delen omdat beheerders historisch gezien terughoudend zijn geweest om incidenten te melden, wat de collectieve verdediging vertraagt. Waterbedrijven lijken te kampen met een vergelijkbare kloof tussen uitgevaardigde richtlijnen en nageleefde richtlijnen, en in beide gevallen is het resultaat dat kwetsbaarheden langer blijven bestaan dan nodig is.
Wat dit voor u betekent
De meeste lezers zijn geen beheerders van watersystemen, maar dit onderzoek is toch belangrijk voor iedereen die afhankelijk is van gemeentelijke infrastructuur, en dat is bijna iedereen. Blootgestelde industriële controllers vormen een systemisch risico dat individuele consumenten niet rechtstreeks kunnen oplossen door persoonlijke veiligheidsmaatregelen zoals het gebruik van een VPN of sterke wachtwoorden. Dat gezegd hebbende, bewustwording heeft waarde. Begrijpen dat er beveiligingslekken in de kritieke infrastructuur bestaan, kan van invloed zijn op hoe u omgaat met lokale ambtenaren, nutsbesturen en openbare inspraakperiodes waarin beslissingen over infrastructuurinvesteringen worden genomen.
Als u werkt in of rond gemeentelijke nutsbedrijven, waterzuivering of een operationele technologische omgeving, dan is dit onderzoek een directe oproep tot actie. Federale waarschuwingen over blootgestelde PLC's en controlesystemen zijn niet hypothetisch; ze beschrijven een gedocumenteerde, voortdurende blootstelling die aanvallers kunnen en zullen misbruiken.
Takeaways voor lezers en beheerders
Voor beheerders van nutsbedrijven en OT-teams zijn de onmiddellijke prioriteiten duidelijk: controleer welke apparaten bereikbaar zijn vanaf het openbare internet, verwijder onnodige blootstelling en implementeer netwerksegmentatie tussen controlesystemen en al het andere. Voor alledaagse lezers zijn de beste stappen van maatschappelijke aard: vraag lokale waterautoriteiten naar hun cybersecurity-houding, steun financiering voor upgrades van infrastructuurbeveiliging en blijf op de hoogte naarmate meer onderzoek zoals dit blijft opduiken. De blootstelling van duizenden industriële controllers zal niet vanzelf verdwijnen, en om het te stoppen is aanhoudende druk nodig van zowel toezichthouders als de gemeenschappen die deze systemen bedienen.
