Co należy wiedzieć o cyberatakach na systemy wodociągowe w USA

Pod koniec lipca 2026 roku ponad 30 miejskich systemów wodociągowych w całej Minnesocie stało się celem skoordynowanych cyberataków, które zakłóciły działanie technologii operacyjnej (OT) wykorzystywanej do zdalnego monitorowania urządzeń wodociągowych i sterowania nimi. Ataki rozpoczęły się 26 i 27 lipca i objęły wiele zautomatyzowanych systemów sterowania w całym stanie, w tym systemy w Plymouth, Braham i South St. Paul. Choć władze potwierdziły, że dostawy wody pitnej nie zostały naruszone, Minnesota IT Services (MNIT) uruchomiło stanowe procedury reagowania na incydenty cyberbezpieczeństwa we współpracy z partnerami miejskimi, stanowymi i federalnymi, aby zbadać naruszenia i zwiększyć ochronę infrastruktury krytycznej (CI).

Czytając dalej, poznają Państwo najważniejsze wnioski z tych cyberataków na sektor wodociągowy, ich szerszy wpływ na branżę oraz sposoby, w jakie Keeper^® może pomóc chronić infrastrukturę krytyczną w różnych branżach przed cyberzagrożeniami.

Co należy wiedzieć o cyberatakach na systemy wodociągowe w USA

Wpływ cyberataków na systemy wodociągowe w USA

Ogólnokrajowe cyberataki na systemy wodociągowe różnią się od naruszeń danych, które zwykle trafiają na pierwsze strony wiadomości, ponieważ zamiast kraść wrażliwe informacje, atakujący celowali w technologię operacyjną (OT), wyraźnie dążąc do zakłócenia działania infrastruktury krytycznej. W tym incydencie chodziło mniej o kradzież, a bardziej o pokazanie, jak podatne mogą być przemysłowe systemy sterowania, od których zależy ciągłość podstawowych usług. Zmieniając hasła i adresy IP na wystawionych na Internet sterownikach PLC, atakujący zablokowali operatorom dostęp do systemów wykorzystywanych do monitorowania urządzeń wodociągowych i sterowania nimi, pozbawiając ich wglądu w działanie tych systemów. Kilka zakładów komunalnych musiało przejść na obsługę ręczną, aby bezpiecznie utrzymać dostawy wody podczas prac nad odzyskaniem kontroli.

Szczególnie niepokojąca jest szersza skala tego incydentu. W ramach kampanii obejmującej wiele stanów władze federalne odnotowały w niektórych obszarach poważniejsze konsekwencje, w tym zalecenia dotyczące przegotowywania wody oraz spadki ciśnienia w sieci wodociągowej. Systemy wodociągowe stały się atrakcyjnym celem cyberataków, ponieważ wiele z nich opiera się na wystawionej na Internet i zdalnie zarządzanej technologii operacyjnej – często połączonej za pośrednictwem urządzeń i modemów, które są przestarzałe i nigdy nie były projektowane z myślą o bezpieczeństwie jako priorytecie. Wiele zakładów komunalnych, zwłaszcza mniejszych systemów miejskich, dysponuje również bardzo ograniczonymi zasobami w zakresie cyberbezpieczeństwa i nie ma wystarczających środków ani personelu, aby zabezpieczyć każde połączenie. W rezultacie krytycznie ważna branża, od której każdego dnia zależą miliony osób i firm, jest chroniona przez systemy, do których – jak nauczyli się atakujący – można stosunkowo łatwo uzyskać dostęp.

Czego branża wodociągowa może nauczyć się z cyberataków na systemy wodociągowe w USA

Choć w chwili pisania tego tekstu dochodzenie nadal trwa, cyberataki te ujawniły już słabe punkty zabezpieczeń, z których wnioski mogą wyciągnąć zakłady wodociągowe i kanalizacyjne każdej wielkości. Incydent ten pokazał, co może się stać, gdy atakujący wykorzystają wystawione na Internet systemy, słabe dane uwierzytelniające i luki w podstawowych mechanizmach kontroli dostępu. Dla operatorów systemów wodociągowych i kanalizacyjnych poniższe wnioski są zarówno pilne, jak i możliwe do wdrożenia.

Ryzyko związane z technologią operacyjną wystawioną na Internet

Główną podatnością wykorzystaną w tych atakach był bezpośredni dostęp do technologii operacyjnej z publicznego Internetu. Atakujący zidentyfikowali i wykorzystali wystawione na Internet sterowniki PLC oraz modemy komórkowe, w tym nieudokumentowane urządzenia instalowane przez dostawców lub operatorów, których nie wykrywano podczas rutynowych skanów bezpieczeństwa. Te zapomniane lub niezarządzane połączenia zapewniły atakującym bezpośrednią drogę do systemów krytycznych.

Zakłady wodociągowe powinny zinwentaryzować każde połączenie zewnętrzne i zakładać, że w ich środowisku istnieją również inne niezarządzane ścieżki zdalnego dostępu. Technologia operacyjna nigdy nie powinna być bezpośrednio wystawiona na Internet. Zamiast tego operatorzy potrzebują bezpiecznego dostępu zdalnego, który tworzy chronioną warstwę pomiędzy publicznym Internetem a systemami odpowiedzialnymi za funkcjonowanie infrastruktury krytycznej.

Zagrożenie związane z domyślnymi i słabymi danymi uwierzytelniającymi

Wiele sterowników PLC objętych tym atakiem było chronionych wyłącznie domyślnymi hasłami producenta lub słabymi danymi uwierzytelniającymi, co pozwoliło atakującym zalogować się, zmienić te hasła i zablokować operatorom dostęp do ich własnych systemów. Najważniejszym wnioskiem dla sektora wodociągowego jest konieczność wyeliminowania wszystkich domyślnych haseł oraz egzekwowania silnych, unikalnych danych uwierzytelniających na każdym urządzeniu i koncie. Domyślne i udostępniane w niezabezpieczony sposób dane uwierzytelniające należą do najczęstszych sposobów uzyskiwania dostępu przez atakujących, a jednocześnie są jednymi z najłatwiejszych do usunięcia podatności.

Znaczenie segmentacji sieci i kopii zapasowych offline

Sposób, w jaki Braham w Minnesocie zareagowało na ten incydent, pokazał wartość odpowiedniego przygotowania – personel przywrócił działanie systemu w czasie krótszym niż 90 minut. Po wykryciu naruszenia odizolowano objęty nim system, przywrócono go z kopii zapasowej i ponownie uruchomiono zakład – wszystko to bez przerw w dostawach wody dla mieszkańców miasta. Pokazuje to, że skuteczne procedury odzyskiwania mogą ograniczyć skutki włamania i sprawić, że potencjalny kryzys zamieni się jedynie w krótkotrwałe zakłócenie.

Najważniejszym wnioskiem jest konieczność budowania odporności jeszcze przed atakiem poprzez segmentację systemów OT od systemów IT i publicznego Internetu, tak aby naruszenie w jednym obszarze nie rozprzestrzeniło się na inne. Dzięki przetestowanym kopiom zapasowym przechowywanym offline operatorzy mogą szybko przywrócić systemy, gdy wystąpi problem.

Dlaczego mniejsze zakłady są szczególnie narażone

CISA podkreśla, że atakujący biorą na cel podmioty z sektora wodociągowego każdej wielkości, a nie tylko duże obszary metropolitalne. Jest to poważny problem, ponieważ mniejsze zakłady komunalne często działają przy ograniczonych budżetach i z niewielkimi zespołami IT, przez co są gorzej przygotowane do obrony przed tego typu atakami. Mniejsze zakłady powinny mieć świadomość, że nawet przy bardzo ograniczonych zasobach potrzebują podstawowych mechanizmów kontroli dostępu, a coraz częściej nie muszą finansować ich samodzielnie. Na poziomie federalnym State and Local Cybersecurity Grant Program (SLCGP) agencji CISA pomaga władzom stanowym, lokalnym i terytorialnym zwiększać odporność cybernetyczną, a miejskie systemy wodociągowe prowadzone przez władze lokalne mogą ubiegać się o to finansowanie za pośrednictwem właściwej agencji stanowej. Również poszczególne stany zaczynają podejmować działania; na przykład stan Nowy Jork ogłosił niedawno ponad 9 mln USD dotacji na cyberbezpieczeństwo, które mają pomóc chronić systemy wodociągowe w całym stanie. Mniejsze zakłady powinny aktywnie ubiegać się o tego rodzaju finansowanie i wsparcie, aby wyeliminować luki w zabezpieczeniach, zanim zostaną wykorzystane.

Jak Keeper Security pomaga chronić infrastrukturę krytyczną przed cyberatakami

Zalecenia wydane przez władze w odpowiedzi na te ataki wskazują na tę samą podstawową potrzebę: szczegółową kontrolę nad dostępem i tożsamością. Właśnie do tego zaprojektowano ujednoliconą platformę bezpieczeństwa tożsamości Keeper. Dzięki architekturze zero-trust, zero-knowledge Keeper zapewnia, że dostęp do infrastruktury krytycznej jest na każdym etapie weryfikowany, szyfrowany i kontrolowany, dzięki czemu nawet połączenia wykorzystywane przez atakujących w Minnesocie są blokowane, zanim będzie można je wykorzystać.

Bezpieczny dostęp zdalny

Kluczowym problemem w tych atakach był bezpośredni dostęp do technologii operacyjnej z publicznego Internetu. Bezpieczny dostęp zdalny Keeper do infrastruktury eliminuje konieczność tak ryzykownego wystawiania systemów, zapewniając operatorom kontrolowany dostęp do sterowników PLC i systemów sterowania bez ich bezpośredniego udostępniania w internecie. Zamiast polegać na niezabezpieczonych modemach i wystawionych na internet urządzeniach, połączenia zdalne są realizowane przez bezpieczny, monitorowany kanał z wykorzystaniem Keeper.

Zarządzanie danymi uwierzytelniającymi i tajnymi danymi

Default or weak credentials can make internet-facing devices easier for attackers to compromise. Keeper Password Management for Business helps enforce strong, unique credentials across accounts and replace default passwords that can give attackers an easy way in. By generating and securely storing credentials, Keeper helps close one of the easiest entry points and aligns with official recommendations to replace default passwords with strong, unique ones.

W przypadku tożsamości maszynowych i tajnych danych działających w tle Keeper Secrets Manager obsługuje automatyczną rotację tokenów API, kont usługowych i innych danych uwierzytelniających infrastruktury. Ma to znaczenie, ponieważ nawet jeśli atakujący uzyska nieautoryzowany dostęp, unikalne i regularnie rotowane dane uwierzytelniające mogą ograniczyć ryzyko ponownego wykorzystania przejętych danych uwierzytelniających do przemieszczania się między systemami.

Zarządzanie dostępem uprzywilejowanym (PAM)

Ochrona infrastruktury krytycznej wymaga nie tylko zabezpieczenia poszczególnych danych uwierzytelniających, ale także precyzyjnego kontrolowania, kto może uzyskiwać dostęp do systemów odpowiedzialnych za jej działanie. KeeperPAM^® wymusza dostęp zgodnie z zasadą najmniejszych uprawnień, dzięki czemu użytkownicy i dostawcy otrzymują tylko taki dostęp, jakiego rzeczywiście potrzebują, a monitorowanie sesji i kontrola połączeń uprzywilejowanych są zarządzane przez KeeperPAM. Możliwości Keeper są zgodne z oficjalnymi zaleceniami dotyczącymi zapewnienia, aby dostęp zdalny był pośredniczony, monitorowany i kontrolowany, a dostęp sieciowy do krytycznych systemów sterowania ściśle ograniczony; zapewnia to operatorom większe możliwości wykrywania podejrzanej aktywności i reagowania na nią, zanim dojdzie do eskalacji.

Bezpieczny zdalny dostęp z wykorzystaniem Keeper

Ogólnokrajowe cyberataki na systemy wodociągowe powinny przypominać organizacjom, że żadna branża nie jest odporna na cyberataki – nawet infrastruktura krytyczna, od której społeczności zależą każdego dnia. Ponieważ cyberataki na systemy wodociągowe obejmują kolejne stany, incydenty te jasno pokazują, że ochrona podstawowych usług powinna zaczynać się od kontrolowania dostępu do systemów odpowiedzialnych za ich działanie. Keeper zabezpiecza zarówno dostęp uprzywilejowany, jak i zdalny dzięki architekturze zero-trust, zero-knowledge, która eliminuje wystawione na internet połączenia i słabe dane uwierzytelniające wykorzystywane przez atakujących.

Warto poprosić o prezentację KeeperPAM, aby zobaczyć, jak Państwa organizacja może chronić swoją najważniejszą infrastrukturę.