L’FBI ha avvertito che gli attacchi informatici rivolti alle utility pubbliche di acqua e acque reflue stanno colpendo comunità in almeno sette stati degli Stati Uniti, indicando che una recente ondata di incidenti va ben oltre gli attacchi coordinati segnalati in Minnesota. Le autorità federali affermano che la campagna ha interrotto le operazioni in più impianti ed è focalizzata sulle attrezzature di controllo industriale connesse a Internet.
L’allarme, emesso congiuntamente con l’Agenzia per la Protezione Ambientale degli Stati Uniti (EPA), segue rapporti secondo cui più di 30 aziende idriche in Minnesota hanno subito incidenti informatici a partire dalla fine di luglio. Sebbene l’FBI non abbia identificato gli stati interessati né attribuito formalmente l’attività a un attore minaccioso specifico, l’avvertimento è in linea con le recenti linee guida della Cybersecurity and Infrastructure Security Agency (CISA), che collega attacchi simili a CyberAv3ngers, un gruppo di hacker che le autorità statunitensi hanno precedentemente associato al Corpo delle Guardie della Rivoluzione Islamica (IRGC) dell’Iran.
Secondo l’FBI, le utility hanno iniziato a segnalare incidenti il 27 luglio, con diverse organizzazioni che hanno subito interruzioni dopo che gli aggressori hanno preso di mira controllori logici programmabili (PLC) rivolti a internet. Questi dispositivi automatizzano i processi industriali e sono ampiamente utilizzati per controllare i sistemi di trattamento e distribuzione dell’acqua.
Gli investigatori federali hanno dichiarato che alcuni attaccanti hanno modificato password e impostazioni di rete dei PLC, impedendo agli operatori di gestire da remoto le apparecchiature e costringendo le utility a passare a operazioni manuali. In almeno un caso segnalato, gli investigatori hanno riscontrato modifiche non autorizzate ai file di progetto PLC dopo aver individuato discrepanze nella logica a scala, il linguaggio di programmazione comunemente usato per controllare i sistemi di automazione industriale.
L’impatto operativo variava tra le utility elettriche. In Minnesota, le autorità locali hanno segnalato guasti temporanei nelle comunicazioni, perdite di pressione e allagamenti in alcune strutture dopo gli attacchi. A Braham, i funzionari municipali hanno riferito che gli aggressori hanno disattivato a distanza i comandi collegati a un pozzo cittadino, interrompendo temporaneamente le normali operazioni fino a quando il personale non ha ripristinato il sistema. L’FBI ha avvertito che la perdita di pressione nei sistemi di distribuzione dell’acqua può aumentare il rischio che le acque sotterranee non trattate entrino nelle condutture.
L’avviso sottolinea che le utility più piccole restano particolarmente vulnerabili perché molte continuano a gestire sistemi di controllo industriale più vecchi, direttamente accessibili da internet e spesso con risorse limitate per la cybersecurity.
Per ridurre il rischio di compromissione, FBI ed EPA hanno esortato gli operatori a disconnettere i PLC rivolti a internet ogni volta che possibile, sostituire le password predefinite, limitare l’accesso alla rete ai sistemi di controllo, mantenere la capacità di gestire manualmente le strutture e rivedere regolarmente la programmazione dei PLC per eventuali modifiche non autorizzate. Le agenzie raccomandano inoltre di pianificare la sostituzione di apparecchiature vecchie che non ricevono più aggiornamenti di sicurezza.
L’avviso segue un aggiornamento dell’avviso CISA emesso a luglio, che ha ampliato la lista dei dispositivi di controllo industriale ritenuti essere stati prese di mira nelle recenti campagne. Oltre ai controller Unitronics già identificati, l’agenzia ha dichiarato che gli attaccanti hanno mostrato interesse anche per apparecchiature prodotte da Rockwell Automation, Schneider Electric e Siemens. CISA ha dichiarato che le intrusioni osservate sfruttano principalmente dispositivi esposti a internet e configurazioni di sicurezza deboli, piuttosto che vulnerabilità software scoperte di recente.
L’FBI ha dichiarato che l’indagine sulla campagna multistatale è ancora in corso mentre le autorità federali continuano a collaborare con le utility interessate per valutare l’intera portata degli attacchi e rafforzare le protezioni delle infrastrutture idriche critiche.