Hackers treffen 30 watersystemen VS via blootgestelde controllers

Hackers hebben op 26 en 27 juli 2026 geprobeerd in te breken bij ten minste 30 gemeentelijke watersystemen in Minnesota. Sindsdien zijn soortgelijke cyberaanvallen gemeld in Michigan en vijf andere staten. De aanvallers richtten zich op programmeerbare logische controllers – kleine computers die pompen, kleppen en andere apparatuur bedienen – en niet op kantoor netwerken. Hun doel was om de controle over kritieke waterinfrastructuur over te nemen. Nutsbedrijven reageerden door de controlecomputers uit te schakelen en de apparatuur handmatig te bedienen; zij verklaarden dat het water veilig bleef om te drinken. De FBI en het Environmental Protection Agency gaven op 30 juli 2026 een gezamenlijke waarschuwing uit, waarin zij bevestigden dat aanvallers op afstand toegang hadden gekregen tot Rockwell Automation MicroLogix-controllers die rechtstreeks op internet waren aangesloten en hun IP-adressen en wachtwoorden hadden gewijzigd. De Amerikaanse overheid heeft de aanvallen nog niet toegeschreven aan een bepaalde actor, hoewel de eerste verdenking uitgaat naar hackers die naar verluidt banden hebben met Iran. Volgens de Cybersecurity and Infrastructure Security Agency gebruikten sommige nutsbedrijven nog steeds standaardwachtwoorden van de fabrikant, een kwetsbaarheid die ook werd misbruikt bij soortgelijke incidenten in 2023, waarbij hackers met banden met Iran zich richtten op Unitronics-controllers. Onderzoekers van het National Institute of Standards and Technology waarschuwen dat indringers legitieme besturingsinstructies kunnen vervangen door kwaadaardige opdrachten, waardoor de waterstroom of -kwaliteit kan worden verstoord. De aanvallen benadrukken de kwetsbaarheid van de ongeveer 152.000 openbare drinkwatersystemen in de VS, waarvan vele gebruikmaken van verouderde industriële apparatuur zonder moderne beveiligingsfuncties en die worden beheerd door kleine teams. Als reactie hierop heeft de Cybersecurity and Infrastructure Security Agency nutsbedrijven opgeroepen om controllers en dashboards niet rechtstreeks op internet aan te sluiten, beveiligde gateways of VPN's te gebruiken voor externe toegang, standaardwachtwoorden te wijzigen en operationele netwerken te scheiden van bedrijfssystemen. Een groep vrijwillige cyberbeveiligingsexperts biedt begeleiding, maar kleinere nutsbedrijven hebben mogelijk overheidsfinanciering of gedeelde diensten nodig om zich tegen toekomstige inbraken te verdedigen.