Hur sårbart är kranvattnet? Iran officiellt kopplat till historisk attack mot amerikanska vattenverk i sju delstater
Iran officiellt utpekat bakom historisk cyberattack mot vattenverk i sju amerikanska delstater.
Kranvattnet som slagfält
Vi pratar ofta om kritisk infrastruktur i abstrakta termer – elnät, finanssystem, kommunikationsnätverk. Men det som hände i USA den gångna veckan påminde oss om något enklare och mer omedelbart: det vatten som rinner ur kranen hemma.
Enligt rapportering från både SecurityWeek och Wired drabbades över 30 kommunala vattensystem i Minnesota av cyberangrepp under söndagen och måndagen – och det stannar inte där. FBI bekräftar nu att attackerna sträcker sig till minst sju delstater totalt. Det handlar om en av de mest omfattande koordinerade cyberattackerna mot civil infrastruktur i USA:s historia.
Huvudmisstänkta är iransk-kopplade aktörer, något som den amerikanska cybersäkerhetsmyndigheten CISA pekade ut redan i april. Wired fick under veckan tillgång till ett internt dokument som officiellt kopplar samman attackerna med iranska aktörer – den första dokumenterade bekräftelsen mitt under ett geopolitiskt läge som blivit allt mer spänt sedan kriget bröt ut för ungefär sex månader sedan.
Inte ett nytt hot – men en ny skala
Irans intresse för amerikanska vattensystem är långtifrån en nyhet. Redan 2016 åtalade det amerikanska justitiedepartementet iranska hackare för ett angrepp mot en dammanläggning utanför New York. Det som är nytt nu är skalan och koordineringen.
Cynthia Kaiser, tidigare biträdande chef vid FBI:s cyberenhet och numera verksam vid Halcyon Ransomware Research Center, är rakt på sak i sin bedömning till SecurityWeek:
– De flesta seriösa forskare och utredare bör behandla det här som att det rör sig om Iran tills motsatsen bevisas. När något ser ut som en anka och låter som en anka är det viktigt att säga det högt.
De flesta av de bekräftade attackerna riktade sig mot digitala styrsystem – den teknik som används för att på distans övervaka och reglera utrustning vid vattenreningsanläggningar. Att ett system klassas som angripet innebär att utredarna påvisat skadlig aktivitet, men det betyder inte nödvändigtvis att dricksvattenförsörjningen avbröts i varje enskilt fall. Däremot slår CISA fast att attackerna i vissa fall faktiskt slog ut digitala styrsystem och ledde till kokningsrekommendationer för dricksvatten – ett allvarligt tecken på möjlig förorening.
Lösenord och öppna portar – en bekant svaghet
Vad är det egentligen som möjliggör den här typen av angrepp? Svaret är deprimerande bekant för alla som arbetar med digitalisering och säkerhet: grundläggande brister i cyberhygien.
Både CISA och FBI uppmanar nu vattenverk att omedelbart koppla bort programmerbara styrsystem från internet, skydda dem med starka lösenord och inrätta vitlistor för att enbart tillåta godkända enheter att ansluta. Det är råd som lika gärna hade kunnat ges för tio år sedan – och det är just det som är problemet.
Kommunala vattenverk, särskilt i mindre städer, saknar ofta både resurser och kompetens för att hålla jämna steg med ett hotlandskap som eskalerar i takt med att stater och statsstödda aktörer investerar allt mer i offensiva cyberförmågor. I staden Braham i Minnesota, med drygt 1 700 invånare, är man knappast rustad för att möta en statssponsorerad iransk hackergrupp.
En geopolitisk signal
Det är svårt att läsa det här som enbart ett tekniskt problem. Attackernas timing – mitt under pågående konflikt och i ett spänt geopolitiskt läge – signalerar att cyberangrepp mot civil infrastruktur blivit ett utrikespolitiskt verktyg. Det är inte primärt sabotage för sabotagens skull; det är ett sätt att skapa oro, visa kapacitet och utöva påtryckningar utan att formellt passera tröskeln för väpnad konflikt.
Det väcker en obehaglig fråga för oss alla i västvärlden: Hur utsatta är egentligen våra egna vattenverk, värmecentraler och avloppssystem? Sverige och övriga Norden har stärkt sitt säkerhetsarbete de senaste åren, men den amerikanska händelsen visar att det är lätt att underskatta hur stor attackytan faktiskt är när samhällskritisk infrastruktur digitaliseras utan tillräckliga säkerhetsmarginaler.
Vår analys
Det här är inte primärt en nyhet om Iran – det är en nyhet om strukturell sårbarhet. Att mer än 30 vattenverk i USA kan nås och påverkas via internet med relativt enkla metoder avslöjar ett systemfel som går långt bortom geopolitik.
Vi befinner oss i en era där digitaliseringen av samhällskritisk infrastruktur accelererar snabbt, men investeringarna i skydd halkar efter. Det är i den klyftan som statliga aktörer opererar. Den goda nyheten – och jag letar alltid efter den – är att råden för att minska risken är välkända och tekniskt sett inte komplicerade: koppla loss känsliga styrsystem från det öppna internet, inför stark åtkomstkontroll, bygg upp beredskapsplaner.
Utmaningen är politisk och ekonomisk, inte teknisk. Kommuner och regioner behöver långsiktig finansiering och nationell samordning för att höja den lägsta gemensamma säkerhetsnivån. Det är en fråga om prioriteringar – och efter den här veckan borde den prioriteringen vara svår att ignorera.