Іранська кібератака на водні системи Міннесоти сигналізує про зміну мотивів

Скоординована кібератака на операційні технології (OT) понад 30 комунальних систем водопостачання та водовідведення в Міннесоті тепер приписується іранському державному суб’єкту. На відміну від інцидентів із програмами-вимагачами, які домінують у заголовках, ця кампанія не залишила ані записки з вимогою викупу, ані вимоги про оплату. Згідно з повідомленнями про інциденти, саме на цій відсутності слідчі зосереджують найбільшу увагу: вона вказує не на фінансове вимагання, а на політично вмотивоване завдання з дестабілізації.

Атака, яка розгорнулася протягом короткого періоду наприкінці липня, була спрямована на промислові системи управління, що забезпечують роботу очисних та розподільчих споруд у десятках громад Міннесоти. Якщо ви хочете ознайомитися з повною хронологією того, як інцидент поширився на понад 30 систем лише за два дні, наше попереднє висвітлення кібератаки на водні системи Міннесоти детально розбирає початкове виявлення та реагування.

Чому відсутність записки з вимогою викупу змінює розрахунки

Більшість кіберзлочинних угруповань, які проникають у мережі комунальних підприємств, женуться за грошима. Вони шифрують дані, блокують операторам доступ до систем і залишають інструкції для платежу в криптовалюті. Цей сценарій настільки знайомий, що фахівці з реагування на інциденти часто ставляться до самої записки з вимогою викупу як до відбитка пальця, який допомагає ідентифікувати угруповання, що стоїть за атакою, і передбачити його наступний крок.

Ця кампанія повністю порушила цю схему. Без вимоги викупу та без спроби монетизувати вторгнення, робоча теорія слідчих полягає в тому, що метою була дестабілізація сама по собі або демонстрація спроможності. Ця відмінність важлива, оскільки вона змінює те, як комунальні підприємства, регулятори та жителі повинні оцінювати ризик. Фінансово вмотивований зловмисник хоче якнайшвидшого відновлення систем після оплати. Державний суб’єкт, який виконує завдання з дестабілізації, не має такого стимулу, що може зробити строки відновлення менш передбачуваними, а справжні наміри — складнішими для врегулювання шляхом переговорів.

Частина ширшої моделі спонсорованих державою атак на OT

Водні та каналізаційні комунальні підприємства за останні два роки стають дедалі помітнішою ціллю для іноземних пов’язаних із державою хакерських груп, здебільшого тому, що вони поєднують критично важливу суспільну функцію з, у багатьох випадках, недостатньо укомплектованими командами з кібербезпеки. Малі та середні муніципальні системи часто використовують застарілі програмовані логічні контролери (PLC) та OT-обладнання, які ніколи не розроблялися з урахуванням сучасного ландшафту загроз, що робить їх привабливими точками входу для суб’єктів, які прагнуть довести, що вони можуть дістатися до фізичної інфраструктури.

Це не поодиноке явище, обмежене однією державою чи одним сектором. Наш репортаж про нещодавно викритий китайський кіберпідрядник показує, як кілька держав розбудовують екосистеми підрядників спеціально для підтримки кампаній вторгнення в іноземну інфраструктуру та мережі. Незалежно від того, чи є суб’єкт іранським, китайським чи іншим, спільною рисою є зростаючий апетит до доступу до систем, які історично вважалися надто вузькоспеціалізованими або надто локальними, щоб бути вартими уваги.

Що це означає для вас

Якщо ви живете в одній із постраждалих громад Міннесоти, безпосередня проблема проста: чи безпечна вода і чи надійне водопостачання? Посадовці, які розслідують цей інцидент, не повідомляли про надзвичайну ситуацію в галузі охорони здоров’я, безпосередньо пов’язану з вторгненням, але будь-яке порушення роботи OT-систем на водоканалі вимагає пильного моніторингу з боку місцевої влади та постійної прозорості перед мешканцями.

Крім безпосереднього інциденту, існує вимір конфіденційності та безпеки, який варто розуміти. Атаки на операційні технології відрізняються від витоків даних, які більшість людей асоціюють із «кібератаками». Зазвичай не викрадається база даних клієнтів, не викривається персональна інформація для продажу. Натомість ризик полягає в надійності та цілісності фізичних послуг, від яких люди залежать щодня. Це робить цю історію не стільки про особисту конфіденційність, скільки про громадську безпеку та стійкість інфраструктури, хоча ці два аспекти дедалі більше переплітаються, оскільки муніципальні системи оцифровують свою діяльність і розширюють віддалений доступ для обслуговування та моніторингу.

Для муніципальних адміністраторів ІТ та OT урок полягає не стільки в конкретному суб’єкті загрози, скільки в зростаючому обсязі уваги, яку загалом привертають до себе водні системи. Базові заходи з посилення захисту, сегментація мережі між ІТ та OT-середовищами та швидке встановлення патчів на системах управління, які виходять в інтернет, залишаються найефективнішим захистом, незалежно від того, хто стоїть за наступною спробою.

Практичні висновки

Мешканці постраждалих громад повинні стежити за офіційними оновленнями від своїх місцевих водоканалів, а не покладатися на перекази з третіх рук, оскільки комунальні підприємства зазвичай першими дізнаються про вплив на обслуговування. Муніципальні посадовці, які відповідають за системи водопостачання та водовідведення, повинні сприйняти цей інцидент як поштовх до аудиту точок віддаленого доступу до OT-мереж і переконатися, що системи управління не підключені безпосередньо до публічного інтернету. А всім, хто стежить за ширшою тенденцією спонсорованих державою атак на інфраструктуру США, слід усвідомити, що інцидент у Міннесоті вписується в певну модель, а не є поодиноким випадком: оператори критичної інфраструктури будь-якого масштабу тепер перебувають у полі зору іноземних державних суб’єктів, і відсутність вимоги викупу не означає відсутності ризику.