Irański cyberatak na systemy wodociągowe Minnesoty sygnalizuje zmianę motywacji

Skoordynowany cyberatak na technologię operacyjną (OT) ponad 30 społecznych systemów wodociągowych i kanalizacyjnych w całej Minnesocie jest obecnie przypisywany aktorowi sponsorowanemu przez irańskie państwo. W przeciwieństwie do incydentów ransomware, które dominują na pierwszych stronach gazet, ta kampania nie pozostawiła po sobie żadnego żądania okupu ani wezwania do zapłaty. Zgodnie z raportami o naruszeniach, to właśnie ten brak jest szczegółem, na którym najbardziej skupiają się śledczy: wskazuje on nie na wymuszenie finansowe, a na motywowany politycznie mandat do siania zakłóceń.

Do ataku, który rozegrał się w krótkim oknie pod koniec lipca, doszło na systemy sterowania przemysłowego, które utrzymują pracę uzdatniania i dystrybucji wody w dziesiątkach społeczności w Minnesocie. Jeśli chcesz poznać pełną oś czasu tego, jak incydent rozprzestrzenił się na ponad 30 systemów w ciągu zaledwie dwóch dni, nasze wcześniejsze omówienie cyberataku na wodociągi w Minnesocie przedstawia szczegóły wstępnego wykrycia i reakcji.

Dlaczego brak żądania okupu zmienia rachubę

Większość grup cyberprzestępczych, które infiltrują sieci zakładów użyteczności publicznej, goni za pieniędzmi. Szyfrują dane, blokują operatorom dostęp do systemów i zostawiają instrukcje dotyczące płatności w kryptowalucie. Ten schemat jest na tyle znajomy, że specjaliści od reagowania na incydenty często traktują sam żądanie okupu jak odcisk palca, który pomaga zidentyfikować grupę stojącą za atakiem i przewidzieć jej następny ruch.

Ta kampania całkowicie złamała ten wzorzec. Bez próby wymuszenia i bez próby monetyzacji włamania, robocza teoria wśród śledczych głosi, że celem było zakłócenie dla samego zakłócenia lub jako demonstracja możliwości. To rozróżnienie ma znaczenie, ponieważ zmienia sposób, w jaki przedsiębiorstwa użyteczności publicznej, organy regulacyjne i mieszkańcy powinni myśleć o ryzyku. Atakujący motywowany finansowo chce, aby systemy szybko wróciły do sieci po otrzymaniu zapłaty. Aktor sponsorowany przez państwo, realizujący mandat zakłóceń, nie ma takiej motywacji, co może sprawić, że harmonogramy przywracania sprawności będą mniej przewidywalne, a leżący u podstaw zamiar trudniejszy do wynegocjowania.

Część szerszego wzorca ataków na OT sponsorowanych przez państwa

Zakłady wodociągowe i kanalizacyjne stały się w ciągu ostatnich dwóch lat coraz bardziej widocznym celem dla zagranicznych grup hakerskich powiązanych z państwami, głównie dlatego, że łączą krytyczną funkcję publiczną z, w wielu przypadkach, słabo wyposażonymi zespołami ds. cyberbezpieczeństwa. Małe i średnie systemy komunalne często działają na przestarzałych programowalnych sterownikach logicznych (PLC) i sprzęcie OT, które nigdy nie były projektowane z myślą o dzisiejszym krajobrazie zagrożeń, co czyni je atrakcyjnymi punktami wejścia dla aktorów chcących udowodnić, że mogą dotrzeć do fizycznej infrastruktury.

Nie jest to odosobnione zjawisko ograniczone do jednego państwa narodowego lub jednego sektora. Nasze reportaże o nowo zdemaskowanym chińskim kontrahentu cybernetycznym pokazują, jak wiele państw buduje ekosystemy kontrahentów specjalnie po to, by wspierać kampanie włamań przeciwko zagranicznej infrastrukturze i sieciom. Niezależnie od tego, czy aktor jest irański, chiński czy inny, wspólnym mianownikiem jest rosnący apetyt na dostęp do systemów, które historycznie uważano za zbyt mało znane lub zbyt lokalne, by warto było je atakować.

Co to oznacza dla Ciebie

Jeśli mieszkasz w jednej z dotkniętych atakiem społeczności w Minnesocie, natychmiastowa troska jest prosta: czy woda jest bezpieczna i czy usługa jest niezawodna? Urzędnicy badający ten incydent nie wskazali na zagrożenie zdrowia publicznego bezpośrednio związane z włamaniem, ale każde zakłócenie w systemach OT w zakładzie wodociągowym wymaga ścisłego monitorowania przez lokalne władze i stałej przejrzystości wobec mieszkańców.

Poza bezpośrednim incydentem istnieje wymiar prywatności i bezpieczeństwa, który warto zrozumieć. Ataki na technologię operacyjną różnią się od naruszeń danych, które większość ludzi kojarzy z "cyberatakami". Zazwyczaj nie dochodzi do kradzieży bazy danych klientów, nie ma ujawnienia danych osobowych na sprzedaż. Zamiast tego ryzyko dotyczy niezawodności i integralności usług fizycznych, od których ludzie zależą na co dzień. To sprawia, że jest to mniej historia o prywatności osobistej, a bardziej o bezpieczeństwie publicznym i odporności infrastruktury, choć te dwie kwestie coraz bardziej się ze sobą splatają, w miarę jak więcej systemów komunalnych cyfryzuje swoją działalność i rozszerza zdalny dostęp do konserwacji i monitorowania.

Dla administratorów IT i OT w gminach lekcja nie dotyczy żadnego pojedynczego aktora zagrożeń, ale raczej rosnącej ilości uwagi, jaką ogólnie otrzymują systemy wodociągowe. Podstawowe środki utwardzania, segmentacja sieci między środowiskami IT i OT oraz szybkie łatanie systemów sterowania wystawionych na kontakt z Internetem pozostają najskuteczniejszą obroną, niezależnie od tego, kto stoi za kolejną próbą.

Praktyczne wnioski

Mieszkańcy w dotkniętych społecznościach powinni śledzić oficjalne komunikaty od lokalnych zakładów wodociągowych, zamiast polegać na doniesieniach z drugiej ręki, ponieważ zakłady zwykle jako pierwsze wiedzą o wpływie na usługi. Urzędnicy gminni nadzorujący systemy wodociągowe i kanalizacyjne powinni potraktować ten incydent jako impuls do przeprowadzenia audytu punktów zdalnego dostępu do sieci OT i potwierdzenia, że systemy sterowania nie są bezpośrednio wystawione na publiczny Internet. A każdy, kto śledzi szerszy trend sponsorowanych przez państwa ataków na amerykańską infrastrukturę, powinien dostrzec, że incydent w Minnesocie wpisuje się w pewien wzorzec, a nie jest odosobnionym przypadkiem: operatorzy infrastruktury krytycznej wszystkich rozmiarów są teraz wyraźnie na celowniku zagranicznych aktorów powiązanych z państwami, a brak żądania okupu nie oznacza braku ryzyka.