Iraanse hackers treffen 30+ waterbedrijven in Minnesota

Een gelekt memo dat WIRED op 30 juli 2026 in handen kreeg, koppelt een reeks cyberaanvallen op water- en afvalwaterbedrijven in Minnesota aan Iran. Het document van het Water Information Sharing and Analysis Center (WaterISAC), het eerste officiële papier dat die link legt, stelt dat het Minnesota Fusion Center de aanvallen in verband bracht met een hackcampagne die door de Cybersecurity and Infrastructure Security Agency (CISA) wordt omschreven als uitgevoerd door aan Iran gelieerde hackers.

Meer dan 30 gemeentelijke water- en afvalwatersystemen in Minnesota waren doelwit. Hackers compromitteerden op afstand toegankelijke programmeerbare logische controllers (PLC's), met als waarschijnlijk doel het verlies van systeemdruk en mogelijke waterverontreiniging te veroorzaken, aldus het memo. In de stad Braham leidde de aanval tot een korte storing van de waterzuivering. Installaties konden verdere schade beperken, aldus functionarissen, en het drinkwater bleef veilig.

Joe Slowik, voormalig cybersecurityonderzoeker bij Los Alamos National Labs, noemde de aanvallen een zeldzaam geval van staatsgesteund doelwit van civiele infrastructuur buiten de oorlog van Rusland in Oekraïne. Hij waarschuwde dat de gedocumenteerde verstoring en wijziging van veiligheidsparameters op meerdere locaties grote zorg zou moeten baren, en dat andere faciliteiten die dezelfde technologie gebruiken kwetsbaar blijven.

Cybersecuritybedrijf Tenable publiceerde op 28 juli een rapport waarin wordt gesuggereerd dat de Iraanse groep CyberAv3ngers, gelieerd aan de Islamitische Revolutionaire Garde, verantwoordelijk kan zijn. The New York Times meldde op 30 juli dat functionarissen concludeerden dat de aanvallen waarschijnlijk zijn uitgevoerd door Iraanse staatshackers.

CyberAv3ngers dook voor het eerst op in eind 2023, met als doel Unitronics-apparaten die in waterfaciliteiten worden gebruikt, en is sindsdien geëscaleerd tot het binnendringen van een Amerikaans olie- en gasbedrijf en het inzetten van malware genaamd IOControl.

Hoewel de specifieke groep achter de Minnesota-aanvallen onzeker blijft — Claroty-onderzoeker Yhonatan Harari merkte op dat er aanwijzingen zijn voor een andere Iraanse groep, Handala — wijzen alle tekenen op Iraanse betrokkenheid. Een apart CISA-advies, bijgewerkt op 22 juli, waarschuwde dat aan Iran gelieerde actoren zich op PLC's richtten om operationele verstoring te veroorzaken, maar het noemde de incidenten in Minnesota niet.

Op 30 juli gaf CISA een nieuw advies uit waarin stond dat de aanvallen leidden tot kookadviezen en aanhoudende handmatige operaties. Het drong er bij waterbedrijven op aan om PLC's los te koppelen van internet, sterke wachtwoorden te gebruiken en vertrouwde apparaten op een witte lijst te zetten, met de waarschuwing dat de dreigingsactoren zich richten op waterentiteiten van alle groottes.