ハッカーは事業者を自組織のOTネットワークから締め出し、パスワードを変更し、IPアドレスを書き換えていました。
FBIとサイバーセキュリティ・インフラセキュリティ庁(CISA)は木曜日、水道事業者を標的としたサイバー攻撃がエスカレートしており、事業者が自らのオペレーショナルテクノロジー(OT)ネットワークから締め出される事例が発生していると警告しました。
CISAは、プログラマブルロジックコントローラ(PLC)を狙う攻撃に「重大なエスカレーション」が見られるとし、水道事業者に対しインターネットに公開されている機器を切り離すよう促していると、木曜日に発表された勧告で述べています。PLCは、飲料水や下水処理に用いられるポンプなどの機能を自動化・監視するために使用されています。
同庁は、ハッカーがパスワードを変更することで事業者を自らの機器から締め出したり、IPアドレスを変更してPLCを切断したりできる状態にあると警告しました。複数のケースで事業者は、水道水の煮沸勧告を出さざるを得なくなったり、手動操作への切り替えを強いられたりしています。
FBIによると、報告されている攻撃は、今週初めにミネソタ州で発生した一連の攻撃を皮切りに、7つの州へと拡大しているとのことです。これは木曜日に発表された公共向け発表によるものです。
事業者はFBIに対し、一部の攻撃が浸水や水圧低下を引き起こしたと説明しています。同勧告によれば、水圧の低下は未処理水が配管に浸入する原因となり得るとのことです。
「FBIおよび我々の省庁間パートナーは、重要インフラの保護に全面的に取り組んでおり、あらゆる種類のサイバー脅威から防御する体制を十分に整えています」と、ある広報担当者は金曜日にCybersecurity Diveに語りました。
ミネソタ州の復旧状況
攻撃は日曜日、ミネソタ州全体で30を超える水道システムに影響を及ぼした一連の連携攻撃から始まりました。州当局はまだ正式な攻撃者の特定には至っていませんが、当局はこれらの攻撃を、Rockwell Automationをはじめとするメーカーの脆弱なPLC機器を狙うイラン関連の脅威グループに関する従来からの警告と関連付けています。
これらの攻撃は日曜日と月曜日に発生しており、脅威リサーチャーはイラン系脅威グループとの関連を疑っています。
ミネソタ州当局によると、確認された攻撃の大半はPLCに加え、事業者が水道システムを操作する際に使用するコンピュータ画面であるヒューマンマシンインターフェース(HMI)にも影響を及ぼしたとのことです。
環境保護庁(EPA)の職員は、州・地方自治体の当局者や水道システム事業者と連携し、今回の攻撃への対応調整を支援してきました。
「多くのシステムで、井戸、ポンプ場、揚水施設、給水塔などの遠隔地施設との通信が失われたことによる運用上の支障が発生しています」と、環境保護庁の広報担当者はCybersecurity Diveに語りました。
飲料水および下水処理を所管する同庁は水曜日、数百に上る水道事業者の担当者を対象に電話会議を開き、追加攻撃を防ぐための情報や技術的支援を共有しました。
イラン関連の脅威グループは、2月のイラン戦争開始以降、数か月にわたり米国の水道・エネルギーシステムを標的にしてきました。当初はRockwell Automationの脆弱な機器が標的でしたが、最近ではSchneider ElectricやSiemensの機器にも対象が拡大しています。
Rockwell Automationは木曜日、勧告を発表し、同社のMicroLogix 1400シリーズ機器を狙うハッカーについて警告しました。ハッカーはIPアドレスの変更やパスワードの改ざんが可能になっており、水道システム事業者が自らの機器を監視する能力を事実上妨げています。
同社によると、顧客は電源を切り、バッテリーを取り外して再度取り付けることで、改ざんされた機器へのアクセスを取り戻せるとのことです。この手順によりIPアドレスとプログラムが消去されます。同社はまた、オフラインバックアップの作成と、機器を公開インターネットから切り離すことも推奨しています。
