Cyberataki na amerykańską infrastrukturę krytyczną wyszły poza tradycyjne sieci IT i objęły systemy bezpośrednio wspierające podstawowe usługi fizyczne.
Pod koniec lipca 2026 roku skoordynowana fala cyberaktywności wymierzona została w wodociągi i oczyszczalnie ścieków w co najmniej siedmiu stanach USA, w tym w ponad 30 komunalnych systemów wodociągowych w Minnesocie. Atakujący celowali w dostępne z internetu sterowniki przemysłowe, a w niektórych przypadkach zakłócili funkcje monitorowania i sterowania.
Kilka tygodni później FBI i Straż Przybrzeżna USA weszły też na pokład dwóch tankowców z ropą zmierzających do USA, po stwierdzeniu oznak, że zagraniczne podmioty cybernetyczne skompromitowały sieci tych jednostek. Incydenty wskazują na wspólny problem w bardzo różnych sektorach: technologia operacyjna podłączona do internetu może stać się bezpośrednią drogą do infrastruktury fizycznej.
Ataki na ponad 30 systemów wodociągowych w Minnesocie
Kampania w Minnesocie miała miejsce 26 i 27 lipca 2026 roku.
Minnesota IT Services opisało ją jako skoordynowany cyberatak wymierzony w technologię operacyjną w ponad 30 komunalnych systemach wodociągowych. Władze stanowe uruchomiły swoje zdolności reagowania na incydenty cybernetyczne i współpracowały z partnerami federalnymi, lokalnymi i z sektora prywatnego.
Dotknięta technologia służyła do zdalnego monitorowania i sterowania urządzeniami.
W jednym udokumentowanym przypadku atak tymczasowo wyłączył studnię i stację uzdatniania wody w jednym z miast. Inne wodociągi zgłosiły zakłócenia łączności z automatycznymi urządzeniami i musiały przejść na procedury ręczne.
Co ważne, urzędnicy z Minnesoty poinformowali, że ataki nie spowodowały zgłoszonego naruszenia jakości wody pitnej, a mieszkańcy nie byli proszeni w całym stanie o zmianę sposobu korzystania z wody.
To rozróżnienie jest istotne. Cyberatak na wodociągi nie oznacza automatycznie skażonej wody pitnej ani utraty zaopatrzenia w wodę. Udokumentowane skutki różniły się w poszczególnych dotkniętych systemach.
Problem sterowników PLC
FBI i Agencja Ochrony Środowiska (EPA) wydały później wspólne ostrzeżenie opisujące szerszą kampanię przeciwko wodociągom i oczyszczalniom ścieków.
Od 27 lipca wodociągi w co najmniej siedmiu stanach zgłaszały incydenty do FBI, a niektóre ataki pogarszały działanie systemów wodnych.
Federalny komunikat wskazał programowalne sterowniki logiczne (PLC) Rockwell Automation/Allen-Bradley MicroLogix 1100 i 1400 wśród atakowanych urządzeń.
Sterowniki PLC to komputery przemysłowe służące do kontrolowania procesów fizycznych, takich jak pompy, zawory i inne urządzenia.
Atakujący uzyskali zdalny dostęp do sterowników PLC dostępnych z internetu i zmienili informacje konfiguracyjne, w tym:
- Adresy IP
- Hasła urządzeń
- W niektórych przypadkach informacje o projekcie lub sterowaniu PLC
Zmiany te mogły powodować utratę przez operatorów wglądu w podłączone urządzenia lub kontroli nad nimi. FBI zgłosiło skutki operacyjne, w tym utratę ciśnienia wody i zalania w niektórych incydentach.
To zasadniczo coś innego niż kradzież plików z typowej sieci firmowej.
Atakujący, który skompromituje dostępny z internetu sterownik PLC, może zakłócić fizyczny proces, którym ten sterownik zarządza.
Dlaczego ekspozycja w internecie jest tak poważnym ryzykiem
Wiele systemów wodociągowych i oczyszczalni ścieków zaprojektowano z myślą o zdalnym zarządzaniu.
Operatorzy i dostawcy mogą potrzebować zdalnego dostępu do:
- Wież ciśnień
- Przepompowni
- Zakładów uzdatniania
- Przepompowni ścieków
- Systemów monitorowania
- Sterowników przemysłowych
Problem pojawia się, gdy te połączenia są bezpośrednio wystawione na publiczny internet bez wystarczającej ochrony.
FBI i EPA wyraźnie zalecają usunięcie sterowników PLC z bezpośredniej ekspozycji w internecie oraz umieszczenie zdalnego dostępu za bezpiecznymi bramami i zaporami sieciowymi. Zalecają także silne, unikalne hasła oraz listy kontroli dostępu ograniczające komunikację do autoryzowanych urządzeń systemu sterowania.
CISA ostrzegła odrębnie, że obserwuje znaczny wzrost aktywności zagrożeń wymierzonych w sterowniki PLC w wodociągach, i wezwała operatorów do usunięcia z internetu publicznie dostępnej technologii operacyjnej.
Czy odpowiadał za to Iran?
Atrybucja pozostaje ważnym rozróżnieniem.
Według doniesień urzędnicy amerykańskiego wywiadu oceniali, że za kampanią w Minnesocie prawdopodobnie stał Iran, jednak urzędnicy z Minnesoty ani komunikat FBI z 30 lipca nie wskazali publicznie jednoznacznie konkretnego sprawcy.
Sam komunikat FBI mówi o „złośliwych podmiotach cybernetycznych”, zamiast wskazywać irańską grupę.
Oznacza to, że najbezpieczniejszym opisem jest stwierdzenie, że kampania została powiązana z Iranem przez niektórych amerykańskich urzędników i w doniesieniach, natomiast formalna publiczna atrybucja konkretnych incydentów w Minnesocie pozostawała w dostępnym oficjalnym komunikacie nierozstrzygnięta.
Wniosek techniczny nie zależy od atrybucji: wystawiona w internecie technologia OT stanowi bezpośrednie zagrożenie bezpieczeństwa niezależnie od tego, kto stoi za włamaniem.
Zagrożenie wykracza poza wodociągi
Ataki na wodociągi nie były odosobnionym przykładem cyberaktywności docierającej do technologii operacyjnej.
W sierpniu dwa tankowce pod obcą banderą, płynące w stronę Stanów Zjednoczonych, zostały poddane dochodzeniom cybernetycznym po tym, jak władze USA wykryły oznaki kompromitacji ich sieci.
FBI i Straż Przybrzeżna weszły na pokład jednostek w Zatoce Meksykańskiej między 21 a 24 sierpnia, aby ocenić ich systemy operacyjne i IT.
Agencje poinformowały, że środki te podjęto po stwierdzeniu oznak, że sieci obu jednostek zostały skompromitowane przez zagraniczne podmioty cybernetyczne.
1️⃣ VL Prosperity
Jedna z jednostek została w doniesieniach medialnych zidentyfikowana jako VL Prosperity, tankowiec z ropą naftową pod banderą Liberii, płynący w kierunku Teksasu.
Doniesienia oparte na relacjach irańskich mediów twierdziły, że atakujący zakłócili systemy napędu, nawigacji i związane z ładunkiem oraz spowodowali awarię łączności trwającą około 30 godzin.
Jednak te szczegóły operacyjne nie zostały publicznie potwierdzone przez Straż Przybrzeżną USA jako fakty dotyczące incydentu. Publiczne oświadczenie Straży Przybrzeżnej koncentrowało się na oznakach kompromitacji sieci i potrzebie weryfikacji integralności systemów operacyjnych i IT jednostki.
2️⃣ Druga jednostka
Drugą jednostkę w doniesieniach zidentyfikowano jako Kohaku, powiązaną z planowaną operacją przeładunku ładunku w USA.
Również w tym przypadku władze USA nie przypisały publicznie incydentów konkretnemu państwu ani grupie zagrażającej.
Co najważniejsze, Straż Przybrzeżna i FBI poinformowały, że w badanych incydentach nie zgłoszono zakłóceń operacyjnych, niestabilności jednostki, zagrożenia dla członków załogi ani wpływu na środowisko.
Sprawia to, że incydenty z tankowcami są poważne z punktu widzenia cyberbezpieczeństwa, bez konieczności twierdzenia, że atakującym udało się przejąć kontrolę nad statkami.
Wspólna słabość: podłączona technologia operacyjna
Zakłady uzdatniania wody i tankowce wydają się bardzo różne, ale z punktu widzenia cyberbezpieczeństwa łączy je istotna cecha.
Oba coraz bardziej zależą od podłączonej technologii operacyjnej.
Może to obejmować:
Wodociągi
Sterowniki PLC podłączone do internetu → zdalny dostęp → pompy i zawory → uzdatnianie i dystrybucja
Systemy morskie
Komputery w sieci → systemy sterowania jednostką → napęd, nawigacja i operacje ładunkowe
Gdy te systemy są połączone z sieciami IT, infrastrukturą komórkową, łącznością satelitarną lub publicznym internetem, cyberbezpieczeństwo staje się częścią bezpieczeństwa operacyjnego.
Skompromitowane konto lub wystawiony sterownik nie są więc po prostu problemem IT.
Mogą stać się problemem operacyjnym.
Co powinny zrobić firmy zarządzające infrastrukturą krytyczną
Zalecenia FBI i EPA stanowią użyteczną podstawę dla operatorów wodociągów i oczyszczalni ścieków.
✅ Usuń bezpośrednią ekspozycję w internecie
Sterowniki PLC i inne urządzenia OT zasadniczo nie powinny być bezpośrednio osiągalne z publicznego internetu.
Stosuj kontrolowane architektury zdalnego dostępu, takie jak:
- Bezpieczne bramy
- Hosty pośredniczące (jump hosts)
- Zapory sieciowe
- Rozwiązania VPN lub ZTNA
- Ścisłe listy kontroli dostępu
- Segmentowane sieci OT
✅ Przeprowadź audyt połączeń komórkowych
FBI wyraźnie ostrzega, że modemy komórkowe używane do zdalnej łączności w terenie mogą stać się pomijaną ścieżką dostępu.
Firmy powinny prowadzić dokładny inwentarz:
- Modemów komórkowych
- Urządzeń do zdalnego zarządzania
- Sterowników PLC
- Połączeń dostawców
- Zasobów OT dostępnych z internetu
✅ Używaj unikalnych poświadczeń
Domyślne lub ponownie używane hasła mogą zamienić wystawiony sterownik przemysłowy w łatwy cel.
Każde zdalnie dostępne urządzenie powinno mieć unikalne poświadczenia, silne uwierzytelnianie tam, gdzie jest obsługiwane, oraz ściśle kontrolowany dostęp administracyjny.
✅ Monitoruj zmiany konfiguracji
Tradycyjne monitorowanie punktów końcowych nie wystarcza w środowisku OT.
Zespoły bezpieczeństwa powinny monitorować nieoczekiwane zmiany:
- Adresów IP sterowników PLC
- Haseł
- Logiki drabinkowej (ladder logic)
- Oprogramowania sprzętowego (firmware)
- Plików konfiguracyjnych
- Reguł zdalnego dostępu
- Połączeń komórkowych
✅ Utrzymuj zdolność do ręcznej obsługi
Incydenty w Minnesocie pokazują wartość możliwości dalszego działania, gdy cyfrowe systemy sterowania stają się niedostępne.
Wodociągi i inni dostawcy infrastruktury krytycznej powinni regularnie sprawdzać, czy kluczowe procesy mogą bezpiecznie trwać bez łączności zdalnej.
Szerszy obraz
Ataki na amerykańskie wodociągi i dochodzenia dotyczące tankowców komercyjnych wskazują na to samo podstawowe wyzwanie cyberbezpieczeństwa: technologia operacyjna jest coraz bardziej połączona, podczas gdy wiele systemów nigdy nie zaprojektowano z myślą o bezpośredniej ekspozycji na dzisiejsze środowisko zagrożeń.
FBI i EPA udokumentowały już rzeczywiste skutki operacyjne kompromitacji sterowników PLC, w tym utratę monitorowania i sterowania, problemy z ciśnieniem i zalania.
Jednocześnie incydenty z tankowcami pokazują, dlaczego cyberbezpieczeństwo w sektorze morskim staje się również kwestią bezpieczeństwa operacyjnego, a nie tylko zagadnieniem IT.
Dla firm zarządzających infrastrukturą krytyczną pytanie nie brzmi już po prostu:
Czy sieć korporacyjna jest bezpieczna?
Brzmi ono także:
Czy atakujący może dotrzeć do systemów sterujących światem fizycznym?
Podsumowanie
Niedawne incydenty nie dowodzą, że amerykańskie systemy wodociągowe lub komercyjny transport morski zostały szeroko wyłączone. Większość dotkniętych usług nadal działała, często dzięki procedurom ręcznym lub innym zabezpieczeniom.
Pokazują jednak coś ważniejszego: atakujący aktywnie docierają do technologii operacyjnej i testują granicę między dostępem cyfrowym a infrastrukturą fizyczną.
Infrastrukturę krytyczną należy zabezpieczać na poziomie operacyjnym, a nie tylko w sieci korporacyjnej. Ekspozycję w internecie, zdalny dostęp, starsze sterowniki i połączenia dostawców trzeba traktować jako część granicy bezpieczeństwa.
