Grupy z Rosji, Chin i Iranu atakują wodociągi na całym świecie

Pod koniec czerwca br. DomainTools opublikowało raport poświęcony incydentom z sektora wodno-kanalizacyjnego.

W dokumencie podkreślono, że – niestety – wiele takich systemów było łatwych do zaatakowania. Niezmiennie dużym problemem pozostaje widoczność zasobów z poziomu Internetu, co wskazała również Agencja Bezpieczeństwa Wewnętrznego na naszych łamach w październiku 2025 roku.

Sektor wodno-kanalizacyjny został określony jako „narzędzie wpływu” w zakresie strachu i testowania odporności systemów. W opracowaniu podkreślono, że mowa głównie o skutkach w zakresie politycznym i psychologicznym, a nie kinetycznym.

Iran

W przypadku grup pochodzących z Iranu warto podkreślić, że na ich celowniku znalazł się m.in. Izrael. To właśnie im przypisano odpowiedzialność za próby ataku na tamtejszą infrastrukturę wodociągową (kwiecień 2020). Warto nadmienić, że cyberataki nie miały realnych długotrwałych skutków.

W grudniu 2024 roku amerykańska CISA ostrzegała o aktywnej kampanii aktorów powiązanych z irańskim Korpusem Strażników Rewolucji Islamskiej (IRGC), polegającej na kompromitowaniu (przejmowaniu) sterowników PLC i paneli HMI od Unitronics – firmy pochodzącej z Izraela.

Urządzenia były wykorzystywane w amerykańskim sektorze wodno-kanalizacyjnym oraz m.in. w transporcie czy produkcji żywności.

W kwietniu br. CISA alarmowała o cyberatakach na urządzenia OT, które są widoczne z poziomu Internetu. Wiadomo, że działania miały realne skutki w zakresie funkcjonowania systemów oraz strat finansowych. Odpowiedzialnośćmponownie przypisano irańskim APT.

Rosja

W styczniu 2024 roku doszło do niekontrolowanego przelewania się zbiornika wody w teksańskim Muleshoe. Incydent miał być spowodowany cyberatakiem grupy powiązanej z Federacją Rosyjską.

W sierpniu 2025 Energetyka24 informowała o rosyjskim cyberataku na tamę w Norwegii. Atakujący mieli przejąć nad nią kontrolę na 4 godziny. Incydent spowodował niekontrolowane spuszczanie wody w tempie 500 litrów na sekundę.

Nie możemy zapomnieć również o oddziaływaniu prorosyjskich haktywistów na polski sektor wodno-kanalizacyjny. W maju 2026 roku Agencja Bezpieczeństwa Wewnętrznego opublikowała raport, gdzie wymieniono pięć zaatakowanych jednostek, znajdujących się w następujących miejscowościach:

• Jabłonna Lacka;
• Szczytno;
• Małdyty, Sierakowo, Tolkmicko.

Wszystkie z w.w. incydentów ujawniliśmy na łamach naszego portalu.

Atakujący, uzyskując w niektórych przypadkach dostęp do przemysłowych systemów sterowania, mieli możliwość zmiany parametrów technicznych urządzeń, co stwarzało bezpośrednie ryzyko dla ciągłości ich funkcjonowania, a co za tym idzie – dla procesów zaopatrzenia ludności.
ABW

Wiadomo, że jeden z incydentów mających miejsce w 2025 roku, skutkował sześciogodzinną przerwą w dostarczaniu wody dla ok. 2,5 tys. mieszkańców gminy, co opisano w raporcie CERT Polska.

Chiny

Opracowanie DomainTools podkreśla również rolę chińskiej grupy VoltTyphoon, która miała przeniknąć do wielu środowisk IT w amerykańskich sektorach krytycznych – także w wodociągach i kanalizacjach. Ostrzeżenie o tym zjawisku wydała amerykańska CISA w lutym 2024 roku.

W raporcie podkreślono różnicę w działaniach Chińskiej Republiki Ludowej względem grup powiązanych z Rosją czy Iranem – ich starania opierają się na utrzymaniu trwałego dostępu do infrastruktury. W przypadku prorosyjskich haktywistów często widoczne jest działanie polegające na losowym manipulowaniu parametrami obiektów.

Te same błędy

Raport DomainTools listuje powszechnie występujące podatności w sektorze wod-kan na całym świecie. Mowa m.in. o poniższych aspektach:

• dostępności paneli HMI i sterowników PLC z poziomu Internetu;
•  słabych bądź domyślnych danych logowania;
•  niewystarczających zabezpieczeń w zakresie zdalnego zarządzania;
• współdzieleniu kont operatorów;
• korzystaniu z systemów, które utraciły wsparcie;
• ograniczonym monitorowaniu systemów;
• niewystarczającej segmentacji systemów OT i IT.

Warto przy tym podkreślić, że obecnie żaden publicznie opisanych z cyberataków na polski sektor wodno-kanalizacyjny nie miał bezpośrednich skutków w zakresie zdrowia i życia. Jednocześnie ryzyka związane z manipulowaniem parametrami obiektów są realnym zagrożeniem – pewnym ostrzeżeniem dla naszej infrastruktury.

Niedawno opisywaliśmy powody rezygnacji polskich spółek wodociągowych i urzędów z programu „Cyberbezpieczne wodociągi”.