حملات سایبری مرتبط با ایران تأسیسات آب آمریکا را در چندین ایالت هدف قرار داد

هکرهای مرتبط با ایران طی دو هفته گذشته عملیات تأسیسات آب شهرداری‌ها را در حداقل ۱۲ ایالت آمریکا مختل کرده‌اند. مهاجمان با هدف قرار دادن کنترل‌کننده‌های صنعتی متصل به اینترنت، اپراتورهای محلی را از سیستم‌های خود قفل کرده و باعث افت موقت فشار و مجبور شدن چندین شهر به صدور هشدار جوشاندن آب شدند. با این حال، علی‌رغم تیترهای هشداردهنده که حاکی از یک کارزار پیچیده جنگ سایبری بود، هیچ آب آشامیدنی در واقع آلوده نشد. این نفوذها کاملاً متکی بر سهل‌انگاری‌های اولیه مدیریتی بودند—به طور خاص، رها کردن زیرساخت‌های حیاتی به صورت مستقیم متصل به اینترنت عمومی—و نه قابلیت‌های پیشرفته هک.[1][3]

این کارزار از اواخر ماه جولای آغاز شد و در ابتدا حدود ۳۰ سیستم آب جامعه در مینه سوتا را هدف قرار داد و سپس به تأسیساتی در میشیگان، جورجیا، داکوتای جنوبی و سایر ایالت‌ها گسترش یافت. در شهرستان کلیتون، جورجیا، این نفوذ باعث افت ناگهانی فشار آب شد که منجر به صدور اطلاعیه احتیاطی جوشاندن آب گردید، اگرچه خدمات ظرف چند ساعت بازیابی شد. سایر تأسیسات گزارش‌هایی از سیلاب‌های جزئی یا از دست دادن تله‌متری از راه دور دادند و بخش‌های فناوری اطلاعات محلی را مجبور کردند تا برای بازیابی دید بر شبکه‌های خود تلاش کنند.[2][3][5]

مکانیسم این حمله یک واقعیت تلخ را در مورد زیرساخت‌های حیاتی آمریکا آشکار می‌کند: این آسیب‌پذیری کاملاً قابل پیشگیری بود. مهاجمان کنترل‌کننده‌های منطقی قابل برنامه‌ریزی (PLCs) را هدف قرار دادند—به طور خاص مدل‌های راکول اتومیشن و آلن-بردلی مانند میکرولاجیکس ۱۱۰۰ و ۱۴۰۰—که فشار آب، پمپ‌ها و سطوح تصفیه شیمیایی را مدیریت می‌کنند. این دستگاه‌ها برای خودکارسازی فرآیندهای صنعتی پیچیده طراحی شده‌اند، اما ذاتاً در برابر دنیای خارج ایمن نیستند.[4][6][7]

هکرها به جای استفاده از اکسپلویت‌های پیچیده روز صفر (zero-day) برای عبور از فایروال‌های سازمانی، به سادگی وب عمومی را برای یافتن PLCهایی که در معرض دید قرار گرفته بودند و اغلب با رمزهای عبور ضعیف یا پیش‌فرض محافظت می‌شدند، اسکن کردند. پس از ورود به پنل‌های مدیریتی، عوامل تهدید رمزهای عبور را تغییر داده و آدرس‌های IP دستگاه‌ها را دستکاری کردند. این کار عملاً اپراتورهای قانونی را از داشبورد دیجیتال قفل کرد و شرایط انکار سرویس (DoS) را بدون تخریب فیزیکی هیچ سخت‌افزاری ایجاد نمود.[1][4][8]

جاشوا کورمن، کارشناس ایمنی عمومی در مؤسسه امنیت و فناوری، خاطرنشان کرد: «این سیستم‌ها مستقیماً روی اینترنت بودند، بدون هیچ فایروال یا VPN یا هیچ چیز دیگری، و در بیشتر موارد رمز عبوری تنظیم نشده بود.» قابلیتی که در اینجا نشان داده شد، کمتر مربوط به هک نخبه دولتی است و بیشتر مربوط به فرصت‌طلبی خودکار است—تکان دادن دستگیره‌های دیجیتال تا زمانی که یکی باز شود، و سپس عوض کردن قفل‌ها.[1][5]

در پاسخ به تشدید این کارزار، آژانس امنیت سایبری و زیرساخت (CISA)، اف‌بی‌آی (FBI) و آژانس حفاظت از محیط زیست (EPA) هشدارهای مشترک فوری صادر کردند. دستورالعمل اصلی آن‌ها به بخش آب به طرز شگفت‌آوری آنالوگ بود: فوراً تمام تجهیزات صنعتی آسیب‌پذیر را از اینترنت عمومی جدا کنید، قوانین سخت‌گیرانه فایروال را اعمال کنید و آماده باشید تا تأسیسات را به صورت دستی اداره کنید تا زمانی که شبکه‌ها به درستی ایمن شوند.[4][6]

این بازگشت به حالت دستی، نقطه نجات شهرداری‌های هدف قرار گرفته بود. هنگامی که داشبوردهای دیجیتال خاموش شدند، اپراتورها به سادگی به طبقات کارخانه رفتند و کنترل فیزیکی پمپ‌ها و شیرها را به دست گرفتند. توانایی لغو فیزیکی PLCهای به خطر افتاده تضمین کرد که سطوح تصفیه شیمیایی ایمن باقی بماند و هیچ بحران بهداشت عمومی رخ ندهد، که ثابت می‌کند انعطاف‌پذیری آنالوگ اغلب بهترین دفاع در برابر نفوذ دیجیتال است.[1][2][8]

در حالی که آژانس‌های فدرال از صدور انتساب رسمی و نام‌گذاری شده خودداری کرده‌اند، چندین مقام اطلاعاتی و شرکت امنیت سایبری این فعالیت را به بازیگران دولتی یا گروه‌های نیابتی وابسته به ایران مرتبط دانسته‌اند. این کارزار شبیه حمله مشابهی در سال ۲۰۲۳ توسط گروه «سایبر اَوِنجرز» (CyberAv3ngers) وابسته به سپاه پاسداران (IRGC) است که تأسیسات آبی مجهز به PLCهای یونیت‌رونیکس (Unitronics) را با استفاده از تاکتیک‌های مشابه بهره‌برداری از اعتبارنامه‌های پیش‌فرض در دستگاه‌های متصل به اینترنت هدف قرار داد.[3][7]

تحلیلگران امنیتی معتقدند که موج فعلی نفوذها احتمالاً یک نمایش سیگنال‌دهی ژئوپلیتیکی است تا تلاشی برای ایجاد تلفات گسترده. مهاجمان با ایجاد اختلال در خدمات حیاتی در شهرهای کوچک آمریکا، دامنه و قابلیت خود را بدون عبور از آستانه جنگ تخریبی آشکار نشان می‌دهند. این یک روش کم‌هزینه و با دید بالا برای نمایش قدرت است.[1][7]

نتیجه‌گیری گسترده‌تر برای بخش امنیت سایبری، تمرکز مجدد بر «خط فقر امنیتی» است. در حالی که آژانس‌های فدرال بزرگ و شرکت‌های فورچون ۵۰۰ از شکار تهدید مبتنی بر هوش مصنوعی استفاده می‌کنند، هزاران منطقه کوچک آب شهرداری بودجه کافی برای کارکنان اختصاصی فناوری اطلاعات ندارند. تا زمانی که امنیت پایه این تأسیسات محلی تأمین مالی و اجرا نشود، زیرساخت‌های حیاتی در برابر هر کسی که یک اسکنر پورت و لیستی از رمزهای عبور پیش‌فرض دارد، آسیب‌پذیر باقی خواهند ماند.[1][4][8]