מספר מתקפות הסייבר האיראניות על מתקני מים בארה"ב – יותר מ-100

מתקפות הסייבר האיראניות, שבתחילה דווח שפגעו ביותר מ-30 מערכות מים במדינת מינסוטה שבארצות הברית, מתגלה כרחבה הרבה יותר מכפי שהיה ידוע. תחילה דובר על כך שההאקרים כיוונו את הקמפיין שלהם למינסוטה בלבד, לאחר מכן הנתון גדל ללפחות שבע מדינות בארצות הברית ובהמשך היו דיווחים כי הוא פגע ב-12 מדינות. כעת מסתבר כי המתקפות כוונו, ובחלק מהמקרים פגעו, ביותר מ-100 מתקני ותשתיות מים באמריקה. עם זאת, מומחים אומרים כי היקף המתקפות אמנם היה נרחב, אבל הן לא היו מתוחכמות.

מתקפות הסייבר, שנחשפו בראשונה בסוף יולי, התמקדו ב-PLCs – בקרי לוגיקה מתוכנתים, שהיו להם יכולות קישור לאינטרנט. ההאקרים הצליחו להשיג גישה מרחוק על בקרים אלה ושינו את כתובות ה-IP שלהם, כמו גם את הסיסמאות של מכשירים. המתקפות הפריעו באופן זמני לתפקודי המעקב והשליטה בכמה מהמתקנים. ב-CISA, הסוכנות לאבטחת סייבר ותשתיות של ארצות הברית, מכנים את שיטת הפעולה הזאת "נעילת מפעילים".

ניסיון ליצור מהומה יותר מרצון לשבש בהיקף רחב

"לא הייתה באמת הפרעה משמעותית באספקת מים. האירוע הועצם על ידי התקשורת והציף את חשיבות ההשפעה והשבריריות של מגזר המים", אמר רנדי רוז, סגן נשיא מבצעי אבטחה ומודיעין ב-CIS, המרכז לאבטחת האינטרנט. רוז אמר כי אחד מכיווני החקירה הנבדקים הוא שהמתקפות בסייבר לא נועדו להביא להשגת גישה עמוקה כדי לשבש את מתקני המים בהיקף רחב, "אלא סביר יותר להניח שזה היה ניסיון ליצור מהומה, חששות לבטיחות הציבור ורצון להגדלת הפאניקה. שחקני האיום סרקו וזיהו בקרים חשופים לרשת, וייתכן שהם עשו שימוש במידע פומבי כיצד לשבש את פעילותם, או לאפס אותם מרחוק".

"לא היה צורך בתחכום במתקפות אלה", הוסיף. "אלה היו מתקפות קלות, במבט כולל. התוקפים לא היו צריכים לעקוף הרבה בקרות אבטחה".

מומחי CIS הנפיקו הוראות מומלצות למפעילי מתקני המים: "יש למפות את מלאי הנכסים. עליהם לדעת איזה ציוד OT יש להם, היכן הוא ממוקם ואילו מערכות חשופות לאינטרנט. הם גם צריכים נראות של היקף הגישה הניתנת לאינטגרטורים, ספקי שירותים מנוהלים וספקים אחרים, כולל חיבורים דרך מודמים סלולריים. אלה שימשו במתקפות האחרונות על מערכות המים והביוב. מומלץ להסיר גישה מיותרת לאינטרנט, להביא לחיזוק סיסמאות ובקרות גישה, לממש אימות רב שלבי, לסקור יומנים ותצורות, להפריד OT מרשתות, לשמור על מלאי מדויק, לוודא תקינות של גיבויים לא מקוונים ולבדוק את תוכניות התגובה, ההתאוששות מאסון והשחזור".

"חששות האבטחה בעולם ה-IT המסורתי חלים גם על OT", ציינו במרכז. "ארגונים זקוקים לתמונה ברורה של החומרה והתוכנה הפועלות ברשתות שלהם, כולל אילו מערכות נגישות מרחוק ואיזו גישה ניתנה לאינטגרטורים, ספקי שירותים מנוהלים וספקים אחרים".

מומחים: המתקפות – של קבוצת CyberAv3ngers

חוקרי טנאבל העריכו, לאחר היוודע דבר המתקפות על מערכות המים במינסוטה, כי חברי קבוצת ההאקרים CyberAv3ngers, המקושרת לאיראן, הם העומדים מאחורי מתקפות הסייבר. "דפוס הפעולה של המתקפות תואם את הפעילויות הקודמות של חברי הקבוצה", ציינו.

הקבוצה זוהתה ב-2020, ומקושרת למשמרות המהפכה של איראן וליחידת הפיקוד הסייבר-אלקטרוני שלהן, IRGC-CEC. בתחילת העשור חבריה התפארו כי ערכו מתקפות משבשות על תשתיות ישראליות – התפארות שהופרכה מאוחר יותר.

חברי הקבוצה כבר ערכו מתקפות על תשתיות מים בארצות הברית: בנובמבר 2023 הם פגעו בבקרי לוגיקה מתוכנתים בתשתיות של רשות המים העירונית של אליקיפה, פנסילבניה, ופרסמו מסרים אנטי-ישראליים. במקביל, ההאקרים פגעו בלפחות 75 מערכות שהותקן בהן ציוד של יוניטרוניקס הישראלית – ברחבי ארצות הברית, ישראל, בריטניה ואירלנד. הפריצות התאפשרו תוך ניצול סיסמאות ברירת מחדל.

בין 2024 ל-2025, חברי CyberAv3ngers פיתחו את ערכת הנוזקה IOCONTROL, שמיועדת להתקפות על מכשירי OT ו-IoT. השנה הם הגבירו את פעילותם. בחלק מהמקרים, ההתקפות, שכוונו למגזרי תשתיות קריטיות, שיבשו את הפעילות במתקנים.