Wprowadzenie do problemu / definicja
Amerykańska agencja CISA poinformowała, że w lipcu 2026 roku cyberprzestępcy ukierunkowali działania na ponad 100 systemów sektora wodno-kanalizacyjnego dostępnych bezpośrednio z internetu. Problem dotyczy przede wszystkim środowisk OT i ICS, w których urządzenia takie jak sterowniki PLC bywają wystawione do sieci publicznej bez odpowiedniej segmentacji, kontroli dostępu i monitoringu. Tego typu ekspozycja znacząco zwiększa ryzyko zakłócenia procesów przemysłowych oraz operacji infrastruktury krytycznej.
W skrócie
- Ataki objęły ponad 100 internetowo dostępnych systemów w sektorze wodno-kanalizacyjnym.
- W wielu przypadkach wektorem ryzyka były sterowniki PLC podłączone bezpośrednio do modemów komórkowych.
- Kampania miała charakter ukierunkowany na środowiska operacyjne i była łączona z aktywnością grup powiązanych z Iranem.
- Nie odnotowano szeroko zakrojonych zakłóceń działania usług, ale incydenty potwierdziły wysokie ryzyko wynikające z błędnej ekspozycji OT do internetu.
Kontekst / historia
Sektor wodociągowy od dłuższego czasu znajduje się w centrum zainteresowania zarówno cyberprzestępców, jak i aktorów państwowych. Infrastruktura tego typu często opiera się na systemach sterowania projektowanych z myślą o dostępności i ciągłości działania, a nie o ekspozycji na współczesne zagrożenia sieciowe. W efekcie wiele organizacji utrzymuje środowiska z ograniczoną widocznością zasobów, przestarzałymi mechanizmami uwierzytelniania oraz zdalnym dostępem realizowanym przez łącza komórkowe lub publiczny internet.
Opisywana fala ataków wpisuje się w szerszy trend obserwowany w infrastrukturze krytycznej, gdzie przeciwnik nie musi wykorzystywać zaawansowanych exploitów zero-day. Często wystarcza odnalezienie publicznie wystawionych interfejsów administracyjnych, słabych haseł, domyślnych konfiguracji lub błędnie wdrożonych kanałów serwisowych. W tym przypadku federalne instytucje po raz pierwszy podały bardziej konkretną skalę ekspozycji, wskazując liczbę systemów dotkniętych kampanią.
Analiza techniczna
Techniczny rdzeń problemu stanowi bezpośrednia dostępność urządzeń OT z internetu. Szczególnie niebezpieczny jest scenariusz, w którym sterownik PLC lub inny komponent ICS jest osiągalny przez publiczny adres IP, nierzadko za pośrednictwem modemu komórkowego. Taka architektura omija klasyczne warstwy ochronne, które w dojrzałych środowiskach powinny oddzielać sieć biurową, strefę zdalnego dostępu i sieć sterowania procesem.
Atakujący mogą rozpocząć od pasywnego lub aktywnego rozpoznania, identyfikując hosty odpowiadające na typowe porty i usługi przemysłowe. Następnie możliwe jest sprawdzenie, czy urządzenie używa domyślnych poświadczeń, niezałatanych usług zarządzających albo zbyt szerokich reguł dostępu. Jeżeli taki system nie jest chroniony przez jump host, VPN, MFA i listy kontroli dostępu, uzyskanie nieautoryzowanego dostępu staje się znacząco prostsze.
W środowisku wodociągowym potencjalne działania po uzyskaniu dostępu mogą obejmować zmianę parametrów pracy urządzeń, modyfikację logiki sterowania, wyłączenie wybranych funkcji, manipulację alarmami lub utrudnienie pracy operatorów. Nawet jeśli przeciwnik nie doprowadzi do fizycznego uszkodzenia instalacji, sam dostęp do interfejsów sterowania może wymusić zatrzymanie procesów, przejście na tryb ręczny, uruchomienie procedur awaryjnych i kosztowne działania dochodzeniowe.
CISA zaleca przede wszystkim identyfikację wszystkich systemów dostępnych z internetu, ocenę, które z tych ekspozycji są rzeczywiście niezbędne, oraz eliminację pozostałych. Dla systemów, które muszą pozostać osiągalne zdalnie, rekomendowane są zmiana haseł domyślnych, wdrożenie aktualizacji bezpieczeństwa, pośredniczenie dostępu przez bezpieczne bramy lub jump hosty, egzekwowanie MFA oraz ciągły monitoring ruchu i okresowa ponowna ocena powierzchni ataku.
Konsekwencje / ryzyko
Najważniejsze ryzyko dotyczy nie tyle poufności danych, ile integralności i dostępności procesów przemysłowych. W sektorze wodno-kanalizacyjnym nieautoryzowana zmiana parametrów sterowania może przełożyć się na zakłócenia dostaw, problemy z uzdatnianiem, błędne działanie pompowni lub czasowe wyłączenia usług. To klasyczny przykład cyberzagrożenia, które może przejść z warstwy cyfrowej do skutków operacyjnych.
Drugim aspektem jest ryzyko systemowe. Nawet jeśli pojedyncze incydenty nie spowodowały poważnych przerw, kampania ujawniła skalę błędnej ekspozycji urządzeń OT. Oznacza to, że podobne techniki mogą zostać wykorzystane ponownie, również przez bardziej zaawansowanych przeciwników, w tym grupy zainteresowane sabotażem lub presją geopolityczną. W praktyce każde urządzenie sterujące dostępne z internetu staje się punktem wejścia o nieproporcjonalnie wysokiej wartości dla atakującego.
Nie należy także pomijać konsekwencji regulacyjnych i reputacyjnych. Operatorzy infrastruktury krytycznej muszą liczyć się z koniecznością zgłaszania incydentów, audytami, wzrostem kosztów ubezpieczenia cybernetycznego oraz presją na modernizację środowisk, które często funkcjonowały przez lata bez pełnej inwentaryzacji i segmentacji.
Rekomendacje
Organizacje z sektora OT powinny rozpocząć od pełnej inwentaryzacji zasobów, obejmującej nie tylko tradycyjne adresacje wewnętrzne, ale również interfejsy wystawione przez łącza komórkowe, routery serwisowe i urządzenia zarządzane przez strony trzecie. Kluczowe jest zestawienie wyników skanowania z rzeczywistą architekturą procesu technologicznego.
Kolejnym krokiem powinna być eliminacja bezpośredniego dostępu do PLC i innych komponentów ICS z internetu. Zdalny dostęp należy przenosić do modelu pośredniego, z wykorzystaniem VPN, bastion hostów, MFA, silnych polityk haseł oraz ścisłej autoryzacji opartej na rolach. W praktyce oznacza to odejście od prostych połączeń „urządzenie-publiczna-sieć” na rzecz kontrolowanych ścieżek administracyjnych.
Równolegle należy wdrożyć segmentację sieci OT, monitorowanie ruchu północ-południe i wschód-zachód, rejestrowanie zmian konfiguracji oraz mechanizmy wykrywania anomalii w komunikacji przemysłowej. W środowiskach, w których pełne łatkowanie nie zawsze jest możliwe, szczególnego znaczenia nabierają compensating controls, takie jak filtrowanie ruchu, allowlisting, ograniczenie usług administracyjnych i ścisłe okna serwisowe.
Ważnym elementem obrony jest także gotowość operacyjna. Operatorzy powinni posiadać procedury przejścia na tryb manualny, scenariusze izolacji zdalnych połączeń, playbooki dla incydentów OT oraz ćwiczenia obejmujące współpracę między zespołami IT, OT, utrzymania ruchu i kierownictwem odpowiedzialnym za ciągłość działania.
Podsumowanie
Informacja o ponad 100 internetowo dostępnych systemach wodociągowych będących celem cyberataków pokazuje, że najsłabszym ogniwem infrastruktury krytycznej nadal bywa podstawowa higiena architektoniczna. Bezpośrednia ekspozycja PLC i innych urządzeń ICS do internetu, zwłaszcza przez modemy komórkowe, tworzy warunki do szybkiego i relatywnie prostego nadużycia. Dla sektora wodno-kanalizacyjnego kluczowe pozostają: redukcja powierzchni ataku, kontrolowany zdalny dostęp, segmentacja OT oraz ciągła weryfikacja rzeczywistej widoczności zasobów w sieci publicznej.
Źródła
- SecurityWeek – CISA: Over 100 Internet-Exposed Water Systems Targeted in July Cyberattacks – https://www.securityweek.com/cisa-over-100-internet-exposed-water-systems-targeted-in-july-cyberattacks/
- CISA – Reduce Internet Exposure of Operational Technology Systems – https://www.cisa.gov/news-events/alerts/2026/08/25/reduce-internet-exposure-operational-technology-systems