حمله هماهنگ بیش از ۳۰ شرکت آب در مینه‌سوتا را مختل کرد

حملات ۲۶ و ۲۷ ژوئیه ۲۰۲۶ بیش از سی جامعه در مینه‌سوتا را متاثر کرد که براهام، پلیموث، ساوت سنت پل و میپل پلین به شکل عمومی نام برده شدند، و رخدادهای مرتبط با پی‌ال‌سی در دست‌کم دوازده ایالت گزارش شد. توصیه‌نامه AA26-097A سازمان سیسا که در ۲۲ ژوئیه ۲۰۲۶ به‌روز شد این کارزار را پوشش می‌دهد.

تجهیزات هدف سه سازنده را در بر می‌گیرد: کنترلرهای MicroLogix سری ۱۱۰۰ و ۱۴۰۰ و Logix از راکول اتومیشن، BMX P34 و Modicon M340 از اشنایدر الکتریک، و S7-1200 از زیمنس. اثرهای مستندشده همان چیزی است که این خبر را خواندنی می‌کند نه بایگانی‌کردنی. کنترل‌های رایانه‌ای از کار افتادند و سامانه‌ها موقتا خاموش شدند. فشار آب از دست رفت و آبگرفتگی رخ داد. عملیات به حالت دستی رانده شد. اطلاعیه جوشاندن آب صادر شد. اپراتورها با تغییر گذرواژه از دسترسی محروم شدند و پی‌ال‌سی‌ها با تغییر نشانی آی‌پی از شبکه جدا شدند.

پیامد فیزیکی ناشی از نفوذ به سامانه کنترل در سوابق عمومی نادر است و این نمونه‌ای مستندشده از آن است.

آسیب‌پذیری‌های ذکرشده تازه نیستند. CVE-2021-22681 دور زدن احراز هویت با امتیاز ۹٫۸ در مقیاس CVSS است و وصله‌ای برایش وجود ندارد. CVE-2023-3595 نیز امتیاز ۹٫۸ دارد و CVE-2024-6242 امتیاز ۸٫۴. انتساب به گروه CyberAv3ngers اشاره دارد که با فرماندهی سایبری-الکترونیکی سپاه مرتبط دانسته می‌شود، هرچند مقام‌های فدرال و ایالتی تا زمان انتشار گزارش حملات مینه‌سوتا را به شکل عمومی به بازیگر مشخصی نسبت نداده بودند.

نقطه ورود، کنترلرهای قابل دسترسی از اینترنت با احراز هویت ضعیف یا پیش‌فرض بود نه یک بهره‌برداری تازه، و درس ماجرا در همین بخش است. برای مجریانی که به شرکت‌های آب شهری خدمت می‌کنند اقدامات مشخص‌اند: از دارایی‌های MicroLogix و M340 در سرویس فهرست بگیرید، هر دسترسی مستقیم اینترنتی را حذف کنید، و به طور مشخص برای CVE-2021-22681 مسیر مهاجرت برنامه‌ریزی کنید، چون وصله‌ای برایش نیست و تنها چاره معماری است.

سخت‌ترین حالت اینجا شرکت‌های آب کوچک‌اند. سامانه آب شهری با اپراتور پاره‌وقت و بدون کارکنان امنیتی دقیقا همان محیطی است که در آن کنترلری برای دسترسی از راه دور روی یک آی‌پی عمومی می‌نشیند، و دقیقا همان محیطی است که کمترین توان پاسخ را دارد وقتی این موضوع به مشکل بدل شود.