Wprowadzenie do problemu
Sektor wodno-kanalizacyjny należy do najbardziej wrażliwych obszarów infrastruktury krytycznej. Ostatnia fala incydentów w Stanach Zjednoczonych pokazuje, że nawet nieskomplikowane technicznie działania mogą prowadzić do realnych zakłóceń operacyjnych, jeśli atakujący uzyskają dostęp do wystawionych do Internetu sterowników PLC i słabo zabezpieczonych środowisk OT.
Nie chodzi wyłącznie o pojedynczą podatność, lecz o szerszy problem architektury i sposobu eksploatacji systemów przemysłowych. W wielu organizacjach rozwiązania te były projektowane przede wszystkim pod kątem ciągłości działania, a nie odporności na współczesne zagrożenia cybernetyczne.
W skrócie
W wielu stanach USA odnotowano serię cyberataków wymierzonych w systemy wodociągowe i oczyszczalnie ścieków. Napastnicy koncentrowali się na publicznie dostępnych sterownikach PLC, zmieniając hasła administracyjne oraz parametry sieciowe urządzeń.
Tego rodzaju działania utrudniały operatorom zdalny dostęp, ograniczały bieżące zarządzanie procesami i zwiększały ryzyko zakłóceń operacyjnych. Według dostępnych informacji część incydentów może być powiązana z aktorami sympatyzującymi z Iranem lub działającymi w jego interesie.
Kontekst i historia
Pierwsze szerzej opisywane przypadki dotyczyły podmiotów ze stanu Minnesota, gdzie potwierdzono ataki na dziesiątki organizacji związanych z gospodarką wodną. Z czasem podobne incydenty zaczęły zgłaszać kolejne lokalizacje, w tym obiekty z Georgii, Michigan, Dakoty Południowej, Alabamy i New Jersey.
Tło tych zdarzeń jest istotne, ponieważ amerykańskie agencje federalne już wcześniej ostrzegały przed aktywnością wymierzoną w urządzenia przemysłowe wykorzystywane w sektorze wody i ścieków. Obecna kampania wpisuje się więc w szerszy trend opportunistycznych ataków na organizacje, które utrzymują bezpośrednio dostępne z Internetu zasoby OT.
To oznacza, że nie mamy do czynienia z odosobnionym incydentem, ale z kolejną fazą narastającego problemu bezpieczeństwa infrastruktury krytycznej. Szczególnie narażone pozostają mniejsze i rozproszone podmioty komunalne, które często dysponują ograniczonym budżetem i skromnymi zasobami kadrowymi.
Analiza techniczna
Z technicznego punktu widzenia kampania nie wymagała szczególnie zaawansowanych narzędzi. Kluczową rolę odegrała bezpośrednia ekspozycja sterowników PLC do Internetu oraz brak podstawowych zabezpieczeń architektonicznych, takich jak segmentacja, kontrolowane strefy dostępu czy silne mechanizmy uwierzytelniania.
Atakujący wykorzystywali możliwość połączenia z urządzeniami sterującymi, a następnie modyfikowali hasła administracyjne lub ustawienia sieciowe, w tym parametry adresacji IP. Taka zmiana mogła skutecznie odciąć operatorów od urządzeń albo znacząco ograniczyć ich zdolność do monitorowania procesów technologicznych.
W środowiskach OT nawet pozornie prosta ingerencja może mieć poważne skutki. Nie jest konieczna zmiana logiki sterowania, aby doprowadzić do problemów operacyjnych. Już samo przejęcie warstwy zarządzania może wymusić przejście na sterowanie ręczne, spowolnić reakcję zespołów technicznych i zwiększyć ryzyko błędów ludzkich.
Dodatkowym czynnikiem ryzyka jest specyfika sektora wodnego. Wiele instalacji jest obsługiwanych przez niewielkie zespoły i wspieranych przez zewnętrznych integratorów. Zdalny dostęp bywa tam realizowany przez prowizoryczne kanały serwisowe, takie jak przekierowania portów, łącza komórkowe czy niestandardowe mechanizmy administracyjne uruchamiane poza centralnym nadzorem bezpieczeństwa.
Konsekwencje i ryzyko
Seria incydentów potwierdza, że zakłócenie działania infrastruktury wodociągowej nie wymaga dziś zaawansowanego malware’u ani skomplikowanych exploitów. Wystarczy wykorzystanie słabo chronionych zasobów OT i podstawowa ingerencja w konfigurację urządzeń.
Ryzyko należy rozpatrywać na kilku poziomach. Najbardziej bezpośrednie jest ryzyko operacyjne, czyli utrata widoczności nad procesem technologicznym i ograniczenie zdolności do szybkiej reakcji. Drugim wymiarem jest ciągłość usług publicznych, w tym potencjalny wpływ na ciśnienie w sieci, pracę oczyszczalni lub jakość dostarczanej wody.
Istotny pozostaje także efekt psychologiczny i strategiczny. Nawet technicznie ograniczony atak na infrastrukturę krytyczną może wywołać nieproporcjonalnie duży efekt społeczny, medialny i polityczny. Podejrzenia dotyczące możliwego związku kampanii z podmiotami prorirańskimi dodatkowo wzmacniają znaczenie tych incydentów, ponieważ mogą one służyć zarówno demonstracji możliwości, jak i rozpoznaniu środowiska pod przyszłe operacje.
Rekomendacje
Najważniejszym krokiem dla operatorów jest natychmiastowe usunięcie publicznej ekspozycji sterowników PLC i innych komponentów OT. Urządzenia sterujące nie powinny być dostępne bezpośrednio z Internetu, a zdalny dostęp musi przebiegać przez kontrolowane strefy pośrednie z pełnym logowaniem aktywności.
Organizacje powinny również przeprowadzić przegląd wszystkich kanałów serwisowych oraz pełną inwentaryzację zasobów OT. Dotyczy to zarówno połączeń VPN, jak i modemów komórkowych, przekierowań portów oraz niestandardowych mechanizmów wdrożonych przez integratorów lub personel utrzymaniowy.
- wdrożenie segmentacji IT/OT oraz stref DMZ dla ruchu administracyjnego,
- stosowanie silnych i unikalnych haseł oraz eliminacja domyślnych danych dostępowych,
- włączenie MFA tam, gdzie jest to technicznie możliwe,
- monitorowanie anomalii w sieci przemysłowej,
- tworzenie kopii zapasowych konfiguracji PLC i procedur szybkiego odtwarzania,
- regularne przeglądy reguł zapór sieciowych i list kontroli dostępu,
- ćwiczenia reagowania na incydenty obejmujące utratę widoczności i przejście na sterowanie ręczne.
Nie mniej ważne są działania organizacyjne. Małe i średnie podmioty komunalne często nie mają własnych kompetencji w zakresie OT security, dlatego powinny korzystać ze wsparcia wyspecjalizowanych zespołów, dobrych praktyk sektorowych oraz krajowych wytycznych dla infrastruktury krytycznej.
Podsumowanie
Ataki na systemy wodociągowe w wielu stanach USA pokazują, że realne zagrożenie dla infrastruktury krytycznej nie zawsze wynika z użycia wyrafinowanych narzędzi. Wystarczy połączenie słabej higieny bezpieczeństwa, publicznej ekspozycji urządzeń OT i braku centralnej kontroli nad zdalnym dostępem.
Kampania wymierzona w sterowniki PLC jest kolejnym sygnałem ostrzegawczym dla operatorów sektora wodnego. Ograniczenie ekspozycji, segmentacja sieci oraz ścisła kontrola dostępu do środowisk OT powinny być traktowane jako pilny priorytet bezpieczeństwa operacyjnego.
Źródła
- Dark Reading – Multistate Water System Attacks Widen, Iran Suspected
https://www.darkreading.com/ics-ot-security/multistate-water-system-attacks-widen-iran-suspected - FBI IC3 – Iranian Cyber Actors Targeting PLCs in Critical Infrastructure Sectors
https://www.ic3.gov/PSA/2025/PSA250422 - CISA – Cyber Threat Actors Targeting PLCs in US Water and Wastewater Systems Sector
https://www.cisa.gov/news-events/alerts/2025/07/30/cyber-threat-actors-targeting-plcs-us-water-and-wastewater-systems-sector - CISA – Iranian-affiliated Cyber Actors Gain Access to US Water and Wastewater Systems Facilities
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a - CISA – Top Cyber Actions for Securing Water Systems
https://www.cisa.gov/resources-tools/resources/top-cyber-actions-securing-water-systems