Атаки на открытые промышленные контроллеры в США привели к потере давления воды и подтоплениям

Промышленные контроллеры - это устройства, которые управляют насосами, клапанами, конвейерами и другим оборудованием на заводах, в энергетике и на водоканалах. В отличие от обычных корпоративных систем, взлом такой техники быстро переходит в физические последствия: останавливается подача воды, меняется давление, выходит из строя оборудование. При этом нередко устройства выставляют в интернет для удалённого обслуживания, а заводские пароли оставляют без изменений или не ставят их вовсе. В результате посторонний получает доступ к оборудованию и меняет ход технологического процесса. Изощрённая вредоносная программа для промышленных систем здесь не требуется. Иногда хватает одного открытого адреса и слабой защиты. Именно такой путь и стал причиной июльских инцидентов в водном секторе.

За последние три года круг атакующих заметно расширился. Китайская группа Volt Typhoon, по оценке американских ведомств, заранее закрепляется в сетях критической инфраструктуры США, чтобы при кризисе или конфликте нарушить работу промышленных систем. Её интересуют связь, энергетика, транспорт и водоснабжение. Опирается группа не на уникальное вредоносное ПО, а на разведку, действующие учётные данные и штатные средства администрирования. Поэтому её активность подолгу остаётся незамеченной, а доступ в отдельных сетях сохраняется годами. Отдельно выделяются силы, связанные с Ираном. С ноября 2023 года они атаковали открытые контроллеры Unitronics. По данным властей, выведено из строя не менее 75 устройств, из них не меньше 34 - в водном секторе США. В кампании 2026 года иранские группы переключились на контроллеры Rockwell Automation и меняли данные, которые операторы видели на своих экранах. В августе 2026 года американские ведомства предупредили о разведке и подготовке атак против контроллеров Siemens, установленных в США. Для этих целей применяли скрипты, созданные искусственным интеллектом и замаскированные под легитимные средства мониторинга. Хактивистские объединения пользуются плохо защищёнными системами удалённого доступа к панелям управления, что снижает технический порог для вмешательства в работу оборудования.

Для военных баз США проблема шире, чем защита собственного периметра. PolySwarm отмечает, что электроэнергия, вода, связь, транспорт, топливо и поставки приходят из гражданского сектора за пределами военных сетей. Базы зависят от подстанций, водоканалов, операторов связи и логистических компаний, которыми они не управляют. Значит, нарушить работу объекта можно, не проникая на сам объект: достаточно вывести из строя внешнюю инфраструктуру, которая его обслуживает. Такую зависимость аналитики называют расширенной поверхностью атаки. Особенно уязвимы узлы, от которых зависят сразу несколько объектов. Одна подстанция, водоканал или поставщик комплектующих может поддерживать и гражданские службы, и военные задачи. Планировщикам нужно заранее определить, какие внешние службы критичны для выполнения задач, где они расположены, кто ими управляет и сколько времени база продержится без них. Цепочки зависимостей бывают длинными: резервные каналы связи могут опираться на ту же электросеть, а дизельные генераторы - на внешние поставки топлива.

Практические меры выглядят предсказуемо, но выполняются редко. Доступ к контроллерам из интернета нужно сокращать до минимума. Там, где удалённое подключение необходимо, требуются надёжная аутентификация, ограничение круга пользователей и наблюдение за сеансами. Заводские пароли следует менять, а ненужные учётные записи - удалять. К тому же компаниям стоит сохранять эталонные конфигурации контроллеров, проектные файлы и настройки сети. Это помогает быстро понять, что именно изменил злоумышленник, и восстановить оборудование. Операторы должны знать, какие процессы можно вести вручную, как долго это возможно и кто из сотрудников обладает нужной квалификацией. Отдельного внимания заслуживает граница между корпоративной сетью и промышленным контуром. Первичный доступ часто появляется именно со стороны офисных систем и лишь затем ведёт к оборудованию, управляющему физическими процессами.

Тенденция последних лет состоит в том, что сложность атакующего перестала определять масштаб последствий. Государственные группы, готовящиеся к затяжному противостоянию, и небольшие объединения, использующие открытые интерфейсы удалённого управления, действуют в одном пространстве. Небольшой водоканал, районная подстанция или узкоспециализированный поставщик могут оказаться стратегически значимыми из-за организаций, которые от них зависят. Понимание этих зависимостей - со стороны военных и со стороны операторов инфраструктуры - позволяет направлять ограниченные ресурсы туда, где сбой даст наибольший эффект. Заметить вторжение на ранней стадии, пока оно остаётся кибератакой, обходится дешевле, чем разбираться с его физическими последствиями.