Um ataque cibernético coordenado que atingiu mais de 30 sistemas públicos de água em Minnesota provocou uma resposta em larga escala das autoridades estaduais e federais, com investigadores examinando se a operação está conectada ao grupo de hackers CyberAv3ngers, ligado ao Irã. Autoridades descreveram o incidente como uma das campanhas cibernéticas mais significativas já dirigidas à infraestrutura local de água do estado.
Os ataques começaram em 26 de julho e afetaram vários municípios, incluindo Plymouth, South St. Paul, Maple Plain e Braham. Embora as autoridades tenham dito que a água potável permaneceu segura durante todo o incidente, várias concessionárias sofreram interrupções operacionais após agressores obterem acesso não autorizado a sistemas industriais de controle.
Em Braham, autoridades locais disseram que um poço municipal e parte das operações de tratamento de água da cidade foram temporariamente desativados após o sistema de controle ser manipulado remotamente. A queda forçou os moradores a limitar temporariamente o consumo de água enquanto os trabalhadores das concessionárias restauravam o serviço. Segundo autoridades locais, a energia elétrica permaneceu disponível, mas os controles automatizados responsáveis pela distribuição de água pararam de funcionar até que o sistema fosse reativado.
Outras comunidades afetadas relataram a perda de partes de suas capacidades automatizadas de controle e comunicação. Como resultado, os operadores da usina passaram a usar procedimentos manuais para manter o tratamento e a distribuição de água em funcionamento, enquanto as equipes de cibersegurança avaliavam os danos e trabalhavam para restaurar as operações normais.
A Minnesota IT Services (MNIT), que coordena a cibersegurança das agências estaduais, said ativou suas equipes de resposta a incidentes imediatamente após a detecção dos ataques. A agência está trabalhando em conjunto com o Departamento de Segurança Pública de Minnesota, o FBI e outros parceiros federais e estaduais para investigar as invasões, ajudar as concessionárias a se recuperarem e compartilhar inteligência de ameaças com organizações potencialmente afetadas.
Embora autoridades não tenham formalmente atribuído os ataques, o MNIT disse que os métodos utilizados, o momento dos incidentes e o tipo de infraestrutura alvo se assemelham a campanhas anteriores contra infraestrutura crítica dos EUA envolvendo controladores lógicos programáveis (PLCs). CyberAv3ngers, um grupo de hackers amplamente ligado pelas autoridades americanas ao Corpo da Guarda Revolucionária Islâmica do Irã, já reivindicou anteriormente a responsabilidade por ataques a instalações de água e esgoto nos Estados Unidos e em Israel.
O incidente ocorre apenas dias após a Agência de Segurança de Cibersegurança e Infraestrutura (CISA) e o FBI ampliarem um alerta anterior de que atores afiliados ao Irã continuam mirando tecnologias operacionais conectadas à internet usadas em infraestrutura crítica. A orientação atualizada ampliou a lista de fabricantes de PLCs potencialmente alvo além da Rockwell Automation, incluindo Schneider Electric, Siemens e outros fornecedores.
Segundo a CISA, os atacantes não estão explorando principalmente vulnerabilidades de software recém-divulgadas. Em vez disso, eles estão obtendo acesso por meio de CLPs expostos à internet, configurações de segurança fracas e segmentação de rede inadequada antes de tentar manipular processos industriais e sistemas de controle supervisionado. Agências federais têm incentivado organizações que operam infraestrutura crítica a desconectar os CLPs da internet pública sempre que possível, fortalecer os controles de autenticação e monitorar de perto redes industriais em busca de sinais de atividade não autorizada enquanto a investigação sobre os ataques em Minnesota continua.