Хакери ударили тамо где је Америка најрањивија: На мети системи за снабдевање водом

Сједињене Америчке Државе улажу огроман новац у војску и одбрану од ракета, али њихова инфраструктура остаје изненађујуће рањива на сајбер нападе. Посебан проблем представљају водоводни системи, од којих многи користе застарелу технологију и немају обавезне стандарде сајбер безбедности.

Последњи напади, за које амерички званичници сумњају да су повезани са Ираном, поново су показали колико лако хакери могу да угрозе системе од којих зависе милиони људи.

Вода је стратешка слабост још од античких времена. Када су Остроготи 537. године желели да ослабе Рим, уништили су његове аквадукте. У савременим сукобима водна инфраструктура такође постаје мета, иако се напади на такве објекте у одређеним околностима могу сматрати кршењем међународног хуманитарног права, пише Економист.

Амерички председник Доналд Трамп у марту је запретио уништавањем иранских постројења за десалинизацију, која су од животног значаја за сушне јужне делове земље. Иран тврди да је једно такво постројење бомбардовано на острву Кешм. Истовремено су постројења за воду у Бахреину, Кувајту и Уједињеним Арапским Емиратима погођена ракетама за које се претпоставља да су дошле из Ирана.

Зато можда није изненађење што су се овог лета на мети нашли и амерички водоводни системи. Мејп Плејн, у близини Минеаполиса, 27. јула прогласио је ванредно стање, док је истог дана Clayton County Water Authority у Џорџији, који снабдева око 300.000 људи јужно од Атланте, позвао становништво да прокувава воду након проблема изазваних падом притиска.

Хакери су успели да продру у водоводне и канализационе системе у најмање седам америчких савезних држава, док поједини извештаји наводе да је погођено више од 12 држава. Најтеже је прошла Минесота, где је нападнуто 30 локалних система за снабдевање водом. Прелиминарне процене америчких власти указују на групе повезане са Ираном.

Сајбер напади на водовод открили слабост критичне инфраструктуре САД

Сајбер напад може да прекине снабдевање водом, али и да је учини небезбедном за пиће. Нема доказа да су последњи упади довели до таквих последица, али су поново отворили питање да ли ће Вашингтон успети да заштити критичну инфраструктуру пре неког озбиљнијег напада.

ФОТО: Shutterstock/Pungu x

Демократске сенаторке Ејми Клобушар и Адам Шиф представили су 13. августа предлог закона Water Cyber Shield Act, којим би Агенција за заштиту животне средине (EPA) добила већа овлашћења у области сајбер безбедности водоводних система.

Само шест дана касније савезни званичници издали су ново упозорење – хакери су покушавали да продру у Siemens уређаје који се користе у постројењима за воду и другим деловима критичне инфраструктуре.

Водовод није једина потенцијална мета, али је посебно лак за напад. Америчка електроенергетска мрежа мора да испуњава стандарде сајбер безбедности које надгледа Federal Energy Regulatory Commission. За водоводне системе слични обавезни стандарди не постоје.

Постоји и велика разлика у величини оператера. Компаније које управљају електроенергетском инфраструктуром углавном су веће, богатије и строже регулисане. Највеће компаније, попут PG&E у Калифорнији и Duke Energy на југоистоку и Средњем западу САД, снабдевају милионе домаћинстава.

Водовод је много више локализован. Око 90 одсто америчких водоводних предузећа, од којих су многа у власништву локалних власти, снабдева мање од 10.000 људи. Због тога имају знатно мање новца за модернизацију и заштиту често застарелих рачунарских система.

Ирански и кинески хакери већ годинама траже слабе тачке

Опасност није нова. Ирански хакери су још 2013. продрли у контролни систем мале бране у Њујорку, а јавност за тај случај није сазнала готово три године. Десет година касније преузели су контролу над пумпом у једном постројењу за воду у Пенсилванији.

Амерички савезни тужиоци су 18. августа оптужили 17 Иранаца за нападе на системе универзитета и компанија са циљем крађе истраживања и интелектуалне својине.

Истовремено, велика кинеска сајбер кампања позната као Volt Typhoon годинама покушава да се инфилтрира у америчку критичну инфраструктуру, наводно како би створила могућност за саботаже у случају будућег сукоба.

ФОТО: КОмпас/Илустрација

Међутим, за продор у америчке водоводне системе нису увек потребни висококвалификовани државни хакери. Бивши запослени у једном водоводном округу у Канзасу је 2019. искористио старе приступне податке како би се пријавио у систем и искључио поступке пречишћавања воде. Он је касније тврдио да је био пијан.

Још опаснији случај догодио се две године касније у Олдсмару на Флориди. Хакери су преузели контролу над постројењем и покушали да повећају количину натријум-хидроксида у води на опасан ниво.

Покушај тровања становништва није успео, али је открио колико је систем био незаштићен. Нападачи су успели да продру преко рачунара оператера на којем је био инсталиран TeamViewer, широко коришћен програм који омогућава удаљени приступ рачунарима.

Застарели системи повезани директно на интернет

Последњи упади такође нису захтевали нарочито софистициране методе. Хакери су нападали такозване системе оперативне технологије, који повезују рачунарску мрежу са физичком опремом у постројењима.

Проблем је у томе што су такви системи често директно повезани са јавно доступним интернетом, понекад преко мобилних мрежа, док користе слабе лозинке или чак немају адекватну заштиту приступа.

Америчке савезне власти су 30. јула, а затим поново 19. августа, позвале оператере да критичне системе искључе са интернета.

ФОТО: Shutterstock

Покушаји да се уведу обавезни стандарди сајбер безбедности до сада су углавном пропадали. Током администрације Џоа Бајдена, EPA је покушала да обавеже савезне државе да процењују и пријављују сајбер претње водоводним системима.

Републикански државни тужиоци Мисурија, Арканзаса и Ајове, заједно са удружењима American Water Works Association (AWWA) и National Rural Water Association (NRWA), тужили су савезну владу тврдећи да је реч о прекорачењу федералних овлашћења. Након што је суд привремено зауставио примену мера, EPA је одустала.

Ни Конгрес није реаговао брзо. Cyber Incident Reporting for Critical Infrastructure Act усвојен је 2022. и обавезује организације у важним секторима да велике сајбер нападе пријаве у року од 72 сата. Међутим, коначна правила за његову примену требало би да буду усвојена тек у септембру, више од четири године касније.

Вашингтон сада тражи начин да заштити водоводе

После последњих сајбер напада појавили су се знаци да би америчке власти могле озбиљније да приступе проблему.

Организација DEF CON Franklin, која окупља стручњаке за сајбер безбедност, удружила се овог месеца са NRWA како би покренула Water Watch Centre. Циљ иницијативе је да малим водоводним предузећима омогући приступ стручњацима и подршци приватног сектора.

AWWA, која се раније противила предлозима Бајденове администрације, 5. августа подржала је Water Risk and Resilience Organisation Establishment Act, предлог републиканског конгресмена Рика Крофорда из Арканзаса.

Предлог предвиђа оснивање независног тела које би, под надзором EPA, утврдило минималне стандарде сајбер безбедности за водоводе, по моделу правила која већ важе за електроенергетске компаније.

Истог дана републикански сенатор Том Котон затражио је од америчког министра финансија Скота Бесента измене пореских и других прописа како би водоводна постројења била подстакнута да више улажу у безбедност.

Трамп улаже у војску, али смањује новац за сајбер заштиту воде

Колико ће Вашингтон брзо реаговати у великој мери зависи од Доналда Трампа. Предлог председниковог буџета, о којем би Сенат требало да расправља у септембру, повећао би буџет америчког Министарства рата за 44 одсто, на чак 1,5 билиона долара.

Тај новац укључује трошкове рата са Ираном и високотехнолошки систем „Golden Dome“, који би требало да штити САД од ракетних напада. Истовремено, Трампова администрација показује знатно мање интересовања за заштиту америчких водовода од сајбер напада.

Предложени буџет смањио би за готово 90 одсто највећи извор средстава EPA намењен сајбер безбедности водоводних система.

Трамп је у јулу чак довео у питање тврдње да иза напада у Минесоти стоји Иран и одговорност пребацио на гувернера те државе Тима Волца.

– Иран има већих проблема него да брине о Минесоти – рекао је Трамп.

Истовремено је Cybersecurity and Infrastructure Security Agency (CISA), главна савезна агенција задужена за сајбер одбрану, у озбиљним проблемима. Агенцију потресају промене у руководству и пад морала, док је број запослених смањен за око трећину откако се Трамп вратио у Белу кућу.

Сенат би по повратку са паузе могао да изврши притисак на администрацију да учини више. Последњи напади, међутим, показују да хакери не намеравају да чекају да Вашингтон реши политичке и регулаторне дилеме.