W ciągu ostatnich lat doszło do kilku głośnych ataków na systemy wodociągowe. Cyberprzestępcy coraz bardziej interesują się infrastrukturą użyteczności publicznej. Zakłócenie jej działania może nieść ze sobą dalekosiężne skutki dla ludzkiego życia i zdrowia, a także wobec środowiska naturalnego.
Tylko w 2021 roku w USA doszło do kilku poważnych incydentów związanych z bezpieczeństwem sieci wodociągowych. W ostrzeżeniu z 25 października 2021 r., wydanym przez amerykańską rządową Agencję Cyberbezpieczeństwa i Infrastruktury (CISA), zwrócono uwagę na następujące włamania:
- W sierpniu 2021 r. przestępcy wykorzystali ransomware w wariancie Ghost przeciwko obiektowi w Kalifornii. Wariant ransomware znajdował się w systemie przez około miesiąc i został odkryty, gdy trzy serwery kontroli nadzoru i akwizycji danych (SCADA) wyświetliły komunikat o jego obecności.
- W lipcu 2021 r. przestępcy wykorzystali zdalny dostęp do wprowadzenia ransomware ZuCaNo na komputer z zainstalowanym systemem SCADA w obiekcie użyteczności publicznej z siedzibą w Maine. System oczyszczania wody był uruchamiany ręcznie do czasu przywrócenia działania komputera.
- W marcu 2021 r. hakerzy użyli nieznanego wariantu ransomware przeciwko obiektowi z siedzibą w Nevadzie. Oprogramowanie ransomware wpłynęło na system SCADA ofiary i na systemy zapasowe.
Mając na uwadze te incydenty, firma Fortinet razem z magazynem WaterWorld opracowały raport zatytułowany Cyberbezpieczeństwo w obiektach gospodarki wodnej (Cybersecurity in Water Management Facilities). Omówiono w nim, w jaki sposób cyberataki stają się rosnącym zagrożeniem dla firm z branży wodociągowej, a także podkreślono główne braki w zakresie edukacji, szkoleń i tworzenia kultury cyberbezpieczeństwa.
Kluczowe wnioski z badania
- Mniej niż połowa badanych czuje się bezpieczna
Wraz ze wzrostem łączności, przedsiębiorstwa wodociągowe bardziej niż kiedykolwiek narażone są na cyberataki. Niestety, mniej niż połowa (49%) respondentów czuje się pewnie z posiadanymi rozwiązaniami w zakresie cyberbezpieczeństwa. W związku z tym inwestycje w rozwiązania ochronne będą dla nich w przyszłości najwyższym priorytetem.
- Wielu osobom odpowiedzialnym za cyberbezpieczeństwo brakuje doświadczenia w tym zakresie
Mając do wyboru wiele odpowiedzi na pytanie: „Kto jest odpowiedzialny za zarządzanie systemem cyberbezpieczeństwa?”, 29% respondentów odpowiedziało „Szef IT”, podczas gdy 30% wybrało odpowiedź… „Ktoś inny”. W tej kategorii znalazło się wiele osób na stanowiskach, które nie wymagają żadnego doświadczenia w zakresie cyberbezpieczeństwa, respondenci podawali, że są to np. władze miasta, członkowie rady miasta, czy nawet dyrektorzy finansowi!
- Wielu respondentów może mieć fałszywe poczucie cyberbezpieczeństwa
Spośród ankietowanych prawie 80% wskazało, że ich instytucje nie doświadczyły żadnych incydentów związanych z cyberbezpieczeństwem w ciągu ostatnich 12 miesięcy. Ze względu na stale rosnący poziom aktywności cyberprzestępców, wielu uczestników badania mogło być po prostu nieświadomych, że zagrożenie dotyczy także ich systemów technik operacyjnych (OT). Bez wykrywania włamań może dochodzić do incydentów i naruszeń bezpieczeństwa, a hakerzy mogą wykorzystywać luki w zabezpieczeniach i uzyskiwać dostęp do systemów pozostając niezauważonymi.
- Potrzeba więcej szkoleń z zakresu cyberbezpieczeństwa
Znaczna liczba respondentów wskazała, że słabo rozumie, co należy zmienić, aby poprawić poziom cyberbezpieczeństwa w swojej firmie. Te i inne odpowiedzi wskazują na potrzebę znacznie większej liczby szkoleń z tego zakresu, aby zbudować odpowiednio wysoki poziom cyberhigieny.
Konsekwencje naruszenia bezpieczeństwa
W przeszłości systemy wodociągowe i kanalizacyjne były odizolowane od IT, jednak w miarę postępu technicznego coraz bardziej postępowała konwergencja tych środowisk. To otworzyło furtkę dla cyberataków na obiekty użyteczności publicznej, co może mieć niezwykle poważne konsekwencje. Bez zaawansowanych metod wykrywania, atak może być „niewidoczny” do momentu, kiedy stanie się za późno.
Oczywiście zarządzający przedsiębiorstwami wodociągowymi wiedzą, jak ważne są zarządzane przez nich systemy, ale niektórzy mogą nie doceniać realnego ryzyka związanego z ich nieodpowiednim zabezpieczeniem. Być może jednym z najważniejszych komentarzy w raporcie WaterWorld jest zdanie podsumowujące: „Nadanie wyższego priorytetu cyberbezpieczeństwu, długoterminowa strategia i odpowiednie finansowanie, mają znaczenie krytyczne dla ochrony systemów wodnych”.
