Kibernetski napad na več kot 30 vodovodnih sistemov v ZDA

Usklajen napad na vodovodno infrastrukturo v ZDA

Usklajen kibernetski napad je ciljal operativno tehnologijo več kot 30 vodovodnih sistemov v ZDA. Pri nekaterih upravljavcih so nastale operativne in komunikacijske motnje, preiskava incidenta pa še poteka.

Minnesota IT Services oziroma MNIT je po zaznanih napadih aktiviral državni odziv na kibernetske incidente. Pri preiskavi in podpori lokalnim upravljavcem sodeluje z državnimi organi ter ameriškimi agencijami CISA, EPA in FBI. Celoten obseg incidenta, skupni način dostopa in natančno število uspešno kompromitiranih sistemov še niso javno potrjeni.

Uradni podatek o več kot 30 vodovodnih sistemih pomeni, da so bili ti sistemi tarča usklajene kibernetske aktivnosti. Ne pomeni, da je bilo vseh 30 sistemov uspešno kompromitiranih ali da je pri vseh prišlo do operativnih motenj. Pri poročanju je zato pomembno razlikovati med poskusom napada, nepooblaščenim dostopom in potrjenimi posledicami incidenta.

Kakšne posledice so zaznali posamezni vodovodi?

Posledice so se med posameznimi kraji razlikovale, nekateri upravljavci pa so poročali o težavah z avtomatizacijo in komunikacijami. V mestu Braham je vodarna 27. julija začasno prenehala delovati, zato so prebivalce pozvali, naj omejijo porabo vode. Zaloga v vodnem stolpu je omogočila začasno nadaljevanje oskrbe, osebje pa je začelo odpravljati težavo.

V South St. Paulu so zaznali kibernetski incident, povezan s tehnologijo, ki podpira dele vodovodnega sistema. Nekateri avtomatizirani krmilni mehanizmi so bili prizadeti, vendar je osebje uporabilo pripravljene postopke za neprekinjeno delovanje. Oskrba s pitno vodo in odvajanje odpadne vode sta ostala vzpostavljena.

V Plymouthu so lokalne oblasti poročale o motnjah mobilnih komunikacij pri dveh vodnih stolpih in več črpališčih odpadne vode. Upravljavci so prešli na ročno izvajanje posameznih postopkov. Maple Plain je zaradi odziva na incident razglasil lokalne izredne razmere, vendar je oskrba prebivalcev ostala zagotovljena.

Pristojni organi ob prvih javnih objavah niso poročali o dokazih, da bi bila kakovost pitne vode ogrožena. Minnesota Department of Health je z upravljavci sodeloval pri zagotavljanju varnega delovanja, prebivalcem pa ni bilo izdano splošno navodilo, naj spremenijo uporabo pitne vode.

Kaj je operativna tehnologija?

Operativna tehnologija oziroma OT vključuje naprave in programsko opremo, ki spremljajo ali neposredno upravljajo fizične procese. V vodovodnih sistemih lahko nadzoruje črpalke, ventile, tlak, nivo vode, doziranje kemikalij ter delovanje čistilnih in črpalnih postaj. V takšnih okoljih se pogosto uporabljajo industrijski nadzorni sistemi ICS, sistemi SCADA in programirljivi logični krmilniki PLC.

Poseg v poslovno informacijsko okolje lahko povzroči izgubo podatkov ali nedostopnost pisarniških storitev, incident v okolju OT pa lahko vpliva na fizično delovanje infrastrukture. Posledice so zato lahko neposredno povezane z oskrbo prebivalstva, javnim zdravjem in neprekinjenim delovanjem bistvenih storitev. Možnost ročnega upravljanja je pri takšnih sistemih pomemben varnostni in operativni ukrep.

Varnost OT okolij zahteva drugačen pristop kot zaščita običajnih poslovnih računalnikov. Industrijske naprave imajo pogosto daljšo življenjsko dobo, omejene možnosti posodabljanja in neposreden vpliv na fizične procese. Pomen povezovanja IT- in OT-arhitekture ter zaščite proizvodnih okolij obravnava tudi članek o OT-varnosti v industriji.

Za zdaj ni javno potrjeno:

kateri proizvajalci ali modeli naprav so bili prizadeti;
ali je bila uporabljena določena programska ranljivost;
kako so napadalci pridobili začetni dostop;
ali so bili podatki ukradeni, izbrisani ali spremenjeni.

Dokler tehnične podrobnosti niso objavljene, incidenta ni mogoče zanesljivo povezati z določeno ranljivostjo, vrsto krmilnika ali napadalno skupino.

Ali je znano, kdo je izvedel napad?

Ameriške oblasti napada niso javno pripisale določeni državi ali napadalni skupini. V času incidenta so sicer veljala opozorila o povečanem zanimanju različnih akterjev za internetno izpostavljene naprave v operativnih okoljih. Časovna bližina drugih kampanj sama po sebi ni dokaz, da so povezane z dogodki v Minnesoti.

V preteklih incidentih so napadalci do industrijskih krmilnikov dostopali prek naprav, ki so bile neposredno dosegljive z interneta ali zaščitene s privzetimi gesli. CISA je že dokumentirala primere spreminjanja nastavitev krmilnikov, datotek in upravljavskih zaslonov v vodovodnih ter drugih infrastrukturnih sistemih. Takšne ugotovitve pojasnjujejo tveganje, vendar ne dokazujejo, da je bil v Minnesoti uporabljen enak način napada.

Dokler preiskovalci ne objavijo tehničnih kazalnikov ali uradne atribucije, bi bilo povezovanje napada z določeno skupino preuranjeno. Morebitne ocene varnostnih podjetij je treba obravnavati kot analitične domneve in ne kot potrjena dejstva.

Kako lahko upravljavci zaščitijo sisteme OT?

Najpomembnejši ukrep je preprečiti neposredno izpostavljenost industrijskih krmilnikov in upravljavskih vmesnikov javnemu internetu. Oddaljeni dostop mora potekati prek nadzorovanih prehodov, požarnih zidov ali ustrezno zaščitenih navideznih zasebnih omrežij. Privzeta gesla je treba odstraniti, skrbniške pravice pa omejiti na uporabnike, ki jih dejansko potrebujejo.

Organizacije morajo poznati vse naprave v svojem operativnem okolju in vedeti, katere povezave obstajajo med poslovnim ter industrijskim omrežjem. Spremljati morajo spremembe konfiguracij, prijave v krmilnike, nove oddaljene povezave in nenavaden omrežni promet. Pri starejših napravah, ki ne podpirajo sodobne avtentikacije, je treba dodatno zaščito vzpostaviti na omrežni ravni.

Prednostni ukrepi vključujejo:

odstranitev neposrednega internetnega dostopa do krmilnikov;
zamenjavo privzetih gesel in omejitev skrbniških računov;
segmentacijo poslovnih in operativnih omrežij;
varnostne kopije konfiguracij in krmilnih programov.

Osnovne zaščitne prakse morajo vključevati tudi redne posodobitve, nadzor dostopov, segmentacijo in preverjanje obnovljivosti sistemov. Te ukrepe podrobneje obravnava priročnik Kibernetska higiena, ki jih povezuje tudi z zahtevami ZInfV-1.

Vodovodni sistemi potrebujejo postopke za ročno delovanje, redne vaje odzivanja in preverjene komunikacijske poti z lokalnimi ter državnimi organi. Pripravljeni nadomestni postopki lahko zmanjšajo posledice, kadar avtomatizirani nadzor ali komunikacijske povezave začasno odpovejo.

Kaj pomeni incident za Evropsko unijo in Slovenijo?

Napad v Minnesoti je pomembno opozorilo tudi za evropske in slovenske upravljavce kritične infrastrukture. Oskrba s pitno vodo in ravnanje z odpadno vodo sodita med sektorje, ki jih obravnavata evropski direktivi NIS2 in CER. NIS2 se osredotoča na obvladovanje kibernetskih tveganj, varnostne ukrepe in poročanje o pomembnih incidentih, CER pa na širšo odpornost kritičnih subjektov in neprekinjeno zagotavljanje bistvenih storitev.

Slovenija je zahteve NIS2 prenesla v Zakon o informacijski varnosti ZInfV-1, ki je začel veljati 19. junija 2025. Zakon določa ukrepe za obvladovanje kibernetskih tveganj, odgovornost vodstev, varnostne zahteve in obveznosti poročanja zavezancev. Na iVarnost.si so objavljeni tudi odgovori na vprašanja o ZInfV-1, ki pojasnjujejo osnovne novosti slovenskega zakonodajnega okvira.

Pomemben del NIS2 je pravočasno in poenoteno poročanje o pomembnih kibernetskih incidentih. Evropska skupina za sodelovanje NIS2 je zato pripravila skupne predloge, ki naj bi zmanjšali administrativno breme in poenotili postopke med državami članicami. Več o tem je v članku NIS2 in poročanje o incidentih.

Slovenski upravljavci vodovodnih, energetskih, prometnih in drugih ključnih sistemov morajo zato kibernetsko zaščito povezovati s fizično varnostjo, kriznim upravljanjem in rezervnimi postopki. Pomembna ni samo zaščita pred vdorom, temveč tudi sposobnost nadaljevanja bistvenih storitev ob odpovedi avtomatizacije, komunikacij ali posameznih naprav.

Kako je treba ukrepati ob kibernetskem incidentu?

Upravljavec kritične infrastrukture mora ob incidentu najprej omejiti njegov vpliv in zagotoviti varno nadaljevanje bistvenih storitev. Pri tem mora ohraniti dnevnike, konfiguracije, časovne podatke in druge dokaze, ki lahko pomagajo pri tehnični preiskavi. Prehitro brisanje sistemov ali nenadzorovane spremembe konfiguracij lahko otežijo ugotavljanje vzroka in obsega napada.

Odziv mora vključevati tehnične, organizacijske in komunikacijske ukrepe. Vnaprej morajo biti določene odgovorne osebe, postopki eskalacije, stiki s pristojnimi organi in način obveščanja uporabnikov. Pri kritični infrastrukturi je treba incident obravnavati tudi kot tveganje za neprekinjeno izvajanje storitve, ne samo kot težavo informacijskega sistema.

Zavezanci po ZInfV-1 morajo pomembne incidente oceniti in jih prijaviti pristojni skupini CSIRT. Postopek in osnovne obveznosti podrobneje pojasnjuje članek Kako prijaviti kibernetski incident.

Zakaj je napad pomemben za kritično infrastrukturo?

Incident kaže, da so lahko tarča tudi manjši in lokalno upravljani infrastrukturni sistemi. Ti pogosto uporabljajo starejšo opremo, oddaljeno vzdrževanje in omejene kadrovske vire, vendar zagotavljajo storitve, od katerih so odvisni prebivalstvo, zdravstvo, gospodarstvo ter službe zaščite in reševanja. Že začasna izguba avtomatiziranega nadzora lahko zahteva ročno upravljanje in hitro usklajevanje več organizacij.

Vodovodni sistemi so zaradi možnih posledic za javno zdravje in oskrbo pomemben del kritične infrastrukture. Njihova zaščita zato ne sme temeljiti samo na preprečevanju napadov, ampak tudi na sposobnosti pravočasnega zaznavanja motenj, omejevanja posledic in varnega nadaljevanja delovanja. Poseben poudarek mora biti na povezavah med poslovnimi omrežji, oddaljenim dostopom in industrijskimi sistemi.

Pri odpornosti ni pomembna samo zaščita pred prvim dostopom, temveč tudi varna obnova konfiguracij in možnost izvajanja fizičnih procesov brez avtomatizacije. Upravljavci morajo varnostne ukrepe prilagoditi posebnostim industrijskih naprav, saj številnih starejših sistemov ni mogoče varovati enako kot običajne poslovne računalnike.

Preiskava napada še poteka, zato način začetnega dostopa in natančno število kompromitiranih sistemov ostajata neznana. Potrjeno je, da je bilo ciljanih več kot 30 vodovodnih sistemov in da so pri nekaterih upravljavcih nastale operativne ali komunikacijske motnje. Dogodek ponovno opozarja, da je varnost operativne tehnologije sestavni del zanesljivega delovanja kritičnih storitev.