Ponad 30 systemów wodociągowych w USA celami cyberataków

Jak podaje Reuters, ponad 30 lokalnych systemów wodociągowych w Minnesocie było celem „skoordynowanego cyberataku”. Dotychczas cztery amerykańskie miasta wydały komunikaty w tej sprawie. Ataki miały miejsce 26 i 27 lipca br.

Emily Zimmer, rzeczniczka prasowa Minnesota IT Services (agencji stanowej) przekazała Reutersowi, że incydent został określony jako „atak” ze względu na zidentyfikowanie nieuprawnionego dostępu do systemów i „złośliwe zamiary”. O sprawie zawiadomiono FBI.

„Cyberatak na systemy wodociągowe w Minnesocie spowodował krótkotrwałe wyłączenie stacji uzdatniania wody oraz zakłócenia w automatycznych systemach sterowania w kilku miastach. Ręczne procedury pozwoliły utrzymać dostawy wody” – podkreślił dr Łukasz Olejnik na portalu X.

Co wiemy o incydencie?

27 lipca miasto Braham wydało komunikat dotyczący awarii stacji uzdatniania wody, skutkującej krótkim przestojem w funkcjonowaniu. Przyczyna takiego stanu rzeczy nie była wówczas znana, zaś władze zaapelowały o ograniczenie zużycia wody.

Dwie godziny później przywrócono działanie jednostki. Wiadomo, że atak nie spowodował fizycznych uszkodzeń ani nie zagrażał jakości wody, co przekazano na łamach CBS News.

Władze 80-tysięcznego Plymouth poinformowały o problemach dotyczących komunikacji z dwoma miejskimi wieżami ciśnień oraz kilkoma przepompowniami ścieków. Incydent spowodował konieczność ręcznego sterowania obiektami.

Problem dotyczy wyłącznie urządzeń połączonych z systemem za pośrednictwem sieci komórkowej.
Władze Plymouth o cyberataku

W zawiadomieniach opublikowanych na stronach South St. Paul i Maple Plain stwierdzono ingerencję w automatyczne procesy.

Według obecnego stanu wiedzy, cyberataki nie spowodowały odcięcia od wody żadnego z mieszkańców Minnesoty. Reuters podkreśla, że zgodnie z twierdzeniami stanowej agencji ds. IT, obecnie nie obowiązują żadne zalecenia dot. ograniczenia zużycia wody.

Kto stoi za atakiem?

Dotychczas odpowiedzialność za cyberatak nie została przypisana żadnej grupie cyberprzestępców.

7 kwietnia br. amerykańska CISA (Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury) wydała komunikat dotyczący irańskich cyberataków na urządzenia OT (w tym sterowniki PLC), które są widoczne z poziomu Internetu. Zawiadomienie zostało zaktualizowane 22 lipca (kilka dni przed atakami).

Należy przy tym podkreślić, że obecnie nie ma publicznie dostępnych dowodów ku temu, kto przeprowadził cyberataki.

Kwestie sieci komórkowych i widoczności

W przypadku incydentu w Plymouth wskazano wprost, że problemy dotyczyły urządzeń komunikujących się w oparciu o sieci komórkowe.

Warto przy tym dodać, że w maju 2024 roku CERT Polska opisywał zagrożenia związane z podłączaniem urządzeń przemysłowych do Internetu za pomocą routerów komórkowych (wykorzystujących karty SIM). „W takiej sytuacji nie mamy możliwości dotarcia do właściciela, możemy jedynie przekazać informacje do operatora telekomunikacyjnego. Dlatego kluczowa jest świadomość zagrożeń związanych z wystawieniem urządzeń do internetu i znajomość najlepszych praktyk realizacji dostępu zdalnego tam, gdzie jest on konieczny (…)” – apelował wówczas podmiot realizujący obowiązki CSIRT-u poziomu krajowego.

W ubiegłym roku Agencja Bezpieczeństwa Wewnętrznego przekazała naszej redakcji następujące stanowisko, dotyczące paneli sterowania:

Z naszych obserwacji wynika, że potencjalnie skompromitowane podmioty posiadały zasoby IT dostępne z publicznej sieci Internet, w tym panele HMI (ang. human machine interface – przyp. red.) sterujące procesami technologicznymi.
Agencja Bezpieczeństwa Wewnętrznego

Ataki na polskie wodociągi i oczyszczalnie

Na przestrzeni ostatnich dwóch lat byliśmy świadkami licznych cyberataków na polskie stacje uzdatniania wody oraz oczyszczalnie ścieków. Mowa m.in. o poniższych incydentach:

• stacje uzdatniania wody: Tolkmicko, Małdyty, Sierakowo, Jabłonna Lacka, Szczytno;
• oczyszczalnie ścieków: Wydminy, Kuźnica, Witkowo, Chodaczów.

„Aktywność wymierzona w infrastrukturę komunalną była szczególnie intensywnie prowadzona przez grupy haktywistyczne. Podejmując próby ingerencji w działanie tego typu obiektów, wykorzystywano rażącą podatność w obszarze niewłaściwej polityki haseł oraz niezabezpieczone panele zarządzania urządzeniami, dostępne bezpośrednio w publicznej sieci internet. (…) Atakujący, uzyskując w niektórych przypadkach dostęp do przemysłowych systemów sterowania, mieli możliwość zmiany parametrów technicznych urządzeń, co stwarzało bezpośrednie ryzyko dla ciągłości ich funkcjonowania, a co za tym idzie – dla procesów zaopatrzenia ludności” – stwierdzono w raporcie ABW z działalności w latach 2024-2025.

Dzięki raportowi CERT Polska z działalności w 2025 roku wiemy, że jeden z cyberataków na polską stację uzdatniania wody spowodował ”przerwę w dostarczaniu wody na ok. 6 godzin dla ok. 2,5 tys. mieszkańców gminy”.