Śledztwo w sprawie serii cyberataków na amerykańskie wodociągi wciąż trwa, a sytuacja pozostaje rozwojowa. Liczba zgłaszanych incydentów rośnie niemal z dnia na dzień. W kolejnych dniach mogą pojawić się nowe ustalenia dotyczące zarówno skali ataku, jak i jego sprawców.
Co wiadomo do tej pory
Pod koniec lipca ktoś zaczął włamywać się do systemów sterujących amerykańskimi wodociągami. FBI i Agencja Ochrony Środowiska (EPA) poinformowały początkowo, że od 27 lipca firmy wodociągowe i kanalizacyjne w co najmniej siedmiu stanach zgłosiły incydenty, z których część doprowadziła do rzeczywistych zakłóceń pracy instalacji. Przez kolejny tydzień, do 4 sierpnia, liczba dotkniętych stanów wzrosła do co najmniej 12.
Najbardziej ucierpiała Minnesota, gdzie zaatakowano ponad 30 systemów wodociągowych, między innymi w liczącym blisko 80 tysięcy mieszkańców Plymouth pod Minneapolis. Sprawcy uzyskiwali zdalny dostęp do przemysłowych sterowników PLC podłączonych do Internetu i zmieniali hasła oraz adresy IP, uniemożliwiając operatorom dostęp do własnych systemów.
W niektórych miejscach doprowadziło to do spadków ciśnienia wody i lokalnych zalań. Władze wielokrotnie podkreśliły jednak, że nie doszło do skażenia wody pitnej ani nie wydano zaleceń dotyczących jej przegotowywania.
Iran? Na razie tylko podejrzenia
Jeszcze przed atakami na Minnesotę amerykańskie służby ostrzegały przed aktywnością hakerów powiązanych z Iranem. W zaktualizowanym 22 lipca komunikacie CISA, FBI i innych agencji wskazano, że irańskie grupy cybernetyczne prowadzą kampanię wymierzoną w przemysłowe sterowniki PLC wykorzystywane w infrastrukturze krytycznej.
Nic więc dziwnego, że gdy kilka dni później doszło do włamań do systemów wodociągowych, podejrzenia szybko skierowały się właśnie w stronę Teheranu.
O możliwym irańskim tropie, powołując się na anonimowych przedstawicieli administracji, informowały między innymi „New York Times”, „Washington Post”, CBS News, NBC News i ABC News. Cytowani przez media urzędnicy mówili o oznakach wskazujących na działalność grup powiązanych z Iranem, jednak była to wyłącznie wstępna ocena wywiadowcza. Żadna amerykańska agencja nie wskazała dotąd publicznie konkretnej grupy hakerskiej ani nie oskarżyła oficjalnie władz Iranu.
Są poszlaki, ale nie ma oficjalnego sprawcy
Techniczne ustalenia śledczych są znacznie bardziej konkretne niż publiczne wypowiedzi dotyczące odpowiedzialności za ataki. Minnesota IT Services (MNIT) potwierdziło, że w różnych miejscowościach wykorzystano bardzo podobny sposób działania oraz ten sam typ przemysłowych sterowników. Zastosowana metoda przypomina kampanię z 2023 roku, kiedy hakerzy powiązani z irańskim Korpusem Strażników Rewolucji Islamskiej włamywali się do wodociągów w Pensylwanii poprzez urządzenia wystawione do Internetu z niewłaściwie zabezpieczonym dostępem.
Mimo tych podobieństw FBI, EPA i CISA nie przypisały ataków żadnemu państwu ani konkretnej grupie. Cytowani przez media śledczy podkreślają, że obecna ocena dotycząca Iranu pozostaje wstępna i może ulec zmianie wraz z analizą kolejnych danych technicznych. Śledczy biorą pod uwagę również możliwość celowego pozostawienia śladów mających skierować podejrzenia na Iran. Oznaczałoby to, że podobieństwo do wcześniejszych irańskich operacji mogło zostać świadomie upozorowane przez rzeczywistych sprawców.
Śledztwo szybko nabrało wymiaru politycznego
To, co początkowo było wyłącznie sprawą cyberbezpieczeństwa, szybko przerodziło się również w polityczny spór.
Podczas posiedzenia gabinetu w Camp David 31 lipca prezydent Donald Trump odrzucił wersję o możliwym udziale Iranu, mimo że – jak podała ABC News – jego własna administracja badała właśnie taki scenariusz.
Trump stwierdził, że nie wierzy w irański trop i obarczył odpowiedzialnością władze Minnesoty. Nazwał gubernatora Tima Walza i administrację stanu „rażąco niekompetentnymi” oraz „skorumpowanymi”, dodając, że „Iran ma większe problemy niż zajmowanie się Minnesotą”. Nie przedstawił jednak żadnych dowodów potwierdzających tę ocenę.
Walz odpowiedział na platformie X, że Trump „doskonale wie, kto odpowiada za ten atak”, a problem dotyczy wielu stanów, nie tylko Minnesoty. Zarzucił również administracji osłabienie zdolności obronnych kraju poprzez ograniczenie finansowania CISA i podkreślił, że to lokalni specjaliści jako pierwsi wykryli włamania i ograniczyli ich skutki.
Spór szybko nabrał politycznego charakteru. Nie bez znaczenia pozostaje fakt, że Minnesota od lat należy do stanów głosujących przeciwko Trumpowi, a sam prezydent wielokrotnie wcześniej ostro krytykował zarówno władze stanu, jak i jego politykę.
Problem znacznie większy niż jeden atak
Niezależnie od tego, kto ostatecznie okaże się sprawcą, seria włamań uwidoczniła problem, o którym eksperci ostrzegają od lat. Wiele niewielkich wodociągów i oczyszczalni ścieków w USA nie dysponuje ani odpowiednimi środkami finansowymi, ani specjalistami zdolnymi właściwie zabezpieczyć przemysłowe systemy sterowania przed atakami z Internetu.
Nie jest to zresztą pierwszy taki przypadek. W 2024 roku hakerzy powiązani z Rosją doprowadzili do przelania zbiornika wodnego w teksańskim Muleshoe, a w latach 2023–2024 grupy przypisywane Iranowi prowadziły podobne działania przeciwko wodociągom w Pensylwanii.
Organizacje branżowe apelują obecnie o przedłużenie i zwiększenie federalnego programu grantów na cyberbezpieczeństwo dla samorządów, który wygasa we wrześniu. Ich zdaniem bez dodatkowego wsparcia tysiące niewielkich jednostek administracyjnych pozostanie praktycznie bezbronnych wobec coraz bardziej zaawansowanych cyberataków.
