Un attacco informatico coordinato che ha preso di mira più di 30 sistemi idrici pubblici in tutto il Minnesota ha provocato una risposta su larga scala da parte delle autorità statali e federali, con gli investigatori che hanno esaminato se l’operazione sia collegata al gruppo di hacking CyberAv3ngers legato all’Iran. I funzionari hanno descritto l’incidente come una delle campagne informatiche più significative mai dirette contro le infrastrutture idriche locali dello stato.
Gli attacchi iniziarono il 26 luglio e colpirono diversi comuni, tra cui Plymouth, South St. Paul, Maple Plain e Braham. Sebbene i funzionari abbiano affermato che l’acqua potabile è rimasta sicura durante tutto l’incidente, diverse utility hanno subito interruzioni operative dopo che gli aggressori hanno ottenuto accesso non autorizzato ai sistemi di controllo industriale.
A Braham, le autorità locali hanno riferito che un pozzo municipale e parte delle operazioni di trattamento dell’acqua della città sono stati temporaneamente messi offline dopo che il sistema di controllo è stato manipolato a distanza. L’interruzione costrinse i residenti a limitare temporaneamente il consumo d’acqua mentre gli operatori delle utility ripristinavano il servizio. Secondo le autorità locali, l’elettricità rimaneva disponibile, ma i controlli automatizzati responsabili della distribuzione dell’acqua hanno cessato di funzionare fino al ripristino del sistema.
Altre comunità colpite hanno riferito di aver perso parte delle loro capacità di controllo e comunicazione automatizzate. Di conseguenza, gli operatori dell’impianto sono passati a procedure manuali per mantenere il trattamento e la distribuzione dell’acqua mentre i team di cybersecurity valutavano i danni e lavoravano per ripristinare le normali operazioni.
Minnesota IT Services (MNIT), che coordina la sicurezza informatica per le agenzie statali, said ha attivato immediatamente i suoi team di risposta agli incidenti dopo il rilevamento degli attacchi. L’agenzia sta collaborando con il Dipartimento di Pubblica Sicurezza del Minnesota, l’FBI e altri partner federali e statali per indagare sulle intrusioni, aiutare le utility a recuperare e condividere informazioni sulle minacce con organizzazioni potenzialmente colpite.
Sebbene i funzionari non abbiano formalmente attribuito gli attacchi, il MNIT ha dichiarato che i metodi utilizzati, il tempismo degli incidenti e il tipo di infrastruttura presa di mira ricordano campagne precedenti contro infrastrutture critiche statunitensi che coinvolgevano controllori logici programmabili (PLC). CyberAv3ngers, un gruppo di hacker ampiamente collegato dalle autorità statunitensi al Corpo delle Guardie della Rivoluzione Islamica iraniano, ha precedentemente rivendicato la responsabilità di attacchi contro impianti idrici e reflui negli Stati Uniti e in Israele.
L’incidente arriva solo pochi giorni dopo che la Cybersecurity and Infrastructure Security Agency (CISA) e l’FBI hanno ampliato un precedente avvertimento secondo cui gli attori affiliati all’Iran continuano a prendere di mira la tecnologia operativa connessa a internet utilizzata nelle infrastrutture critiche. La guida aggiornata ha ampliato la lista dei produttori potenzialmente target di PLC oltre Rockwell Automation, includendo Schneider Electric, Siemens e altri fornitori.
Secondo CISA, gli attaccanti non stanno principalmente sfruttando vulnerabilità software recentemente rivelate. Invece, ottengono l’accesso tramite PLC esposti a internet, configurazioni di sicurezza deboli e segmentazione di rete inadeguata prima di tentare di manipolare i processi industriali e i sistemi di controllo supervisionivo. Le agenzie federali hanno sollecitato le organizzazioni che gestiscono infrastrutture critiche a disconnettere i PLC dall’internet pubblico ovunque possibile, a rafforzare i controlli di autenticazione e a monitorare attentamente le reti industriali alla ricerca di segni di attività non autorizzate mentre prosegue l’indagine sugli attacchi del Minnesota.