De grootschalige, gecoördineerde cyberaanval die vorige week plaatsvond op drinkwater- en afvalwatervoorzieningen in de VS had een groter bereik dan aanvankelijk gedacht. Waar het eerst nog om minstens 7 staten ging, meldde The New York Times vandaag dat waarschijnlijk minstens 100 gemeenten in minstens 12 staten een doelwit waren. De infiltraties worden beschouwd als ‘één van de ernstigste pogingen ooit om Amerikaanse watersystemen te ondermijnen’.
Donderdag meldden de FBI en de Environmental Protection Agency (EPA) dat (toen nog) minstens 7 staten sinds 27 juli cyberaanvallen op watervoorzieningen hadden gemeld, en dat ‘een deel daarvan de watervoorziening verslechterd heeft’. Fysieke verstoringen die aan de FBI gerapporteerd zijn betreffen onder andere overstromingen (van baden of tanks, vermoedelijk) en verminderde waterdruk in ‘watersystemen’.
Volgens de Cybersecurity & Infrastructure Security Agency (CISA) hadden de hackers het gemunt op alle soorten en maten waterbedrijven, en hebben sommige daarvan zich genoodzaakt gezien om kookadviezen af te geven en installaties handmatig te bedienen.
‘Nog nooit eerder vertoond’
Omdat inlichtingendiensten, overheden en waterbedrijven zich rondom cyberveiligheid vanzelfsprekend niet graag in de kaarten laten kijken, en omdat de FBI en getroffen organisaties nog volop aan het onderzoeken zijn wat er precies gebeurd is, wordt er momenteel nog enigszins in het duister getast over de omvang, impact en aanstichters van de hackcampagne. Zo zijn er organisaties die niet kunnen of willen aangeven wanneer incidenten precies hebben plaatsgevonden.
Daar komt volgens The New York Times bij dat sommige gemeenten cyberaanvallen niet zullen melden aan hun staat, ‘laat staan aan de federale overheid’, omdat het in de VS (nog) niet wettelijk verplicht is om significante cyberaanvallen te melden. Ambtenaren en cyberexperts die de hackcampagne onderzoeken hebben daarom aangegeven dat de omvang van de campagne mogelijk nog veel groter is geweest dan wat tot nu toe bekend is.
Een cyberveiligheidsexpert gespecialiseerd in de watersector, Gus Serino, zei tegen CNN dat alleen al “de schaal en coördinatie van de aanvallen op waterbedrijven in Minnesota nog nooit eerder vertoond is”. In Minnesota wisten hackers op 26 en 27 juli binnen te dringen in 36 gemeentelijke waterfaciliteiten. Volgens onderzoek van lokale overheden hadden de aanvallen “als waarschijnlijk gewenst effect een verlies van [water]druk en verontreiniging van watervoorraden”.
Programmable Logic Controllers
PLCs worden in drinkwater- en afvalwaterzuiveringen gebruikt om onder andere pompen, kleppen, chemicaliëndoseringen en alarmen aan te sturen. Wanneer een PLC blootgesteld is aan het internet en niet goed beveiligd is, kunnen hackers het IP-adres achterhalen en er met een gestolen of makkelijk te raden wachtwoord in infiltreren. Zo konden Iraanse hackers in 2023 eenvoudig controle over de PLCs van Amerikaanse watervoorzieningen krijgen doordat de belaagde apparatuur ofwel géén wachtwoord had, ofwel ingesteld stond op het wachtwoord van de fabrieksinstellingen (1111).
Eenmaal ‘binnengekomen’ in een PLC kunnen hackers alarmen uitzetten, sensoren manipuleren, commando’s aanpassen, en er aldoende bijvoorbeeld voor zorgen dat operators op basis van displays en dashboards de indruk hebben dat alles in orde is, terwijl het dat in feite niet is.
De FBI en CISA herhalen daarom het (in recente jaren veelgebezigde) advies om PLCs los te koppelen van het internet, en om deze en andere operationele technologie te voorzien van moeilijk te kraken wachtwoorden.
Omdat de getroffen PLCs veelal van dezelfde merken waren (Rockwell Automation/Allen-Bradley’s), ligt ook de vraag op tafel of er mogelijk sprake is geweest van zogeheten supply chain attacks. Hierbij wordt een derde partij zoals een leverancier van hardware, software of cloud services gehackt, of een bedrijf dat voor meerdere waterbedrijven de remote monitoring van bijvoorbeeld waterzuiveringen verzorgt. Door langs die weg een kwetsbaarheid te benutten die bij meerdere waterbedrijven aanwezig is, kunnen hackers met een kleinere inspanning een groter resultaat boeken.
Psychologische impact
Al jaren hebben Iraanse hackers hun pijlen gericht op Amerikaanse waterinfrastructuur. Zo pleegden Iraanse hackers in 2013 herhaaldelijk cyberaanvallen op de Bowman Avenue Dam vlakbij New York, en werden in 2023 en 2024 drinkwater- en afvalwatersystemen gehackt door een groepering die gelinkt is aan de Iraanse Revolutionaire Garde.
En sinds de VS in februari de oorlog aan Iran verklaarde, zit het aantal Iraanse cyberaanvallen op kritieke voorzieningen in de VS in de lift, ziet (onder andere) het Center for International and Strategic Studies.
In april waarschuwden de FBI, EPA, CISA en NSA voor een ‘urgente en aanhoudende cyberdreiging afkomstig van Iraanse groeperingen’ voor watervoorzieningen in de VS, nadat verschillende drinkwater- en afvalwatersystemen gesaboteerd bleken via operationele technologie die met het internet verbonden was, zoals PLCs.
In juni werd een cyberaanval op een waterfaciliteit in Californië geclaimd door het Iraanse Handala Hack Team, als vergelding voor een Amerikaanse aanval op Iraanse waterinfrastructuur, aldus de BBC.
The New York Times schreef vandaag dat experts waarschuwen dat Iran, naarmate de oorlog met de VS voortduurt, op cybergebied “tot sinisterdere acties zou kunnen overgaan als het het gevoel krijgt dat het weinig te verliezen te heeft”.
Andere politieke vijanden van de VS die tot de ‘big 4’ usual suspects behoren op het gebied van cyberaanvallen – China, Rusland en Noord-Korea – worden vrijwel niet genoemd in de verslaggeving over de huidige incidenten. Wel wordt de mogelijkheid genoemd dat de verantwoordelijk hackers zich zouden kunnen vóórdoen als Iraanse hackers in een poging de spanningen tussen Iran en de VS verder op te voeren.
Volgens sommige experts is de grootste dreiging die uitgaat van de aanvallen misschien nog wel de psychologische impact die het op een samenleving heeft. "Wat er aangevallen wordt is in feite ons vertrouwen in het vermogen van de overheid om in onze basale levensbehoeften te voorzien”, aldus Jake Braun, voormalig adjunct-cyberdirecteur van het Witte Huis, tegen de BBC. “En juist op een moment dat het land al sterk verdeeld is door de oorlog.”
Trump
Volgens Braun is de regering-Trump “bezig met een eigen informatie-oorlog” en zal hij daarom mogelijk niet willen toegeven dat Iran in Amerikaanse waterinfrastructuur heeft weten binnen te dringen, zelfs als onderzoek dit bevestigd heeft of in de toekomst nog zal bevestigen.
De gouverneur waar Trump naar verwijst is Tim Walz, wie voor Trump al lange tijd het mikpunt van spot is. The New York Times spreekt van een ‘voortdurend patroon om Minnesota en haar democratisch leiderschap te straffen’.
Walz reageerde dat Trump “precies weet wie verantwoordelijk is voor deze aanval”, en dat “dit is hoe moderne oorlogsvoering eruitziet”. Ook wees hij erop dat het ministerie van overheidsefficiëntie (DOGE) “het mes heeft gezet in de CISA”, het nationale agentschap voor cyberveiligheid. DOGE was een (inmiddels alweer opgeheven) ministerie, geleid door Elon Musk, dat de taak had om de staatsuitgaven omlaag te brengen en banen te schrappen. Vorig jaar maart schreef TIME Magazine dat DOGE op dat moment ‘naar schatting 40.000 mensen, die zich inzetten om het land te beschermen tegen kwaadwillenden’ uit belangrijke functies had gezet bij instanties zoals de ministeries van Defensie, Buitenlandse Zaken en de FBI. Ook de CISA moest afscheid nemen van ongeveer een derde van zijn personeel.
Vrijwillige cyberhulp voor de watersector
Ook de burgemeester van Braham, een kleine stad van zo’n 1.700 inwoners waar vorige week maandag een watertoren werd gehackt, wijst erop dat lokale overheden verwacht worden vitale infrastructuur te verdedigen, terwijl ze daar vaak het personeel en de financiële middelen niet voor hebben.
Het is zelfs zo dat een groep vrijwilligers, DEF CON Franklin (vernoemd naar founding father Benjamin Franklin, die de vrijwillige brandweer oprichtte), zich sinds 2024 belangeloos aanbiedt om drinkwater- en afvalwaterbedrijven te helpen bij het verdedigen van hun zuiveringen. “Meer dan 50.000 Amerikaanse waterbedrijven beschikken over beperkte cybercapaciteit. Veel van hen missen het personeel, de middelen of de tools om zich te verdedigen tegen de huidige dreigingen. Omdat er weinig federale financiering en handhaving is, springt Franklin in dit gat”, aldus de organisatie.
Franklin zet ‘bekwame hacker-vrijwilligers in om de meest kwetsbare waterbedrijven te helpen’, bijvoorbeeld met het op orde brengen van hun basale cyberhygiëne (zoals wachtwoorden), of het in kaart brengen van kwetsbaarheden. Ook houden de vrijwilligers een Hackers’ Almanack bij, waarmee ze ‘beleidsmakers van over de wereldwijde digitale wereld’ willen voorzien van ontdekkingen van kwetsbaarheden en inzichten die daaruit volgen.
Op de knieën
“Als je een volk op zijn knieën wil krijgen moet je je pijlen richten op twee dingen: op energievoorzieningen, en op water”, zei Morgan Wright, voormalig antiterrorismeadviseur van het Amerikaanse ministerie van Buitenlandse Zaken, gisteren op de BBC.
Op de knieën – zo ver kwam het hier nog niet. De aanvallen lijken vooralsnog een relatief beperkte impact te hebben gehad, al moet het lopende onderzoek het fijne daarvan nog uitwijzen – bijvoorbeeld of het in alle gevallen gelukt is om de hackers weer uit de systemen te verwijderen.
Wat de omvang en gecoördineerde timing van de hackcampagne echter wel laten zien, is dat het ‘met een muisklik’ saboteren van de eerste levensbehoeften van meerdere steden, provincies of een heel land niet langer voorbehouden lijkt te zijn aan science fiction films.
LEES OOK
H2O Actueel: Rik Ferguson (Forescout/Europol): ‘Elke cyberaanval – echt of nep – moet serieus genomen worden’
H2O Actueel: Rekenkamer: werk aan de winkel in voorbereiding op kansen en gevaren van quantumcomputers
H2O Actueel: Cyberjournaal: spionnen, honingpotjes en nieuwe wetgeving
