Een gecommitteerde cyberaanval water heeft eind juli in Minnesota meer dan dertig community water systems geraakt. Op 26 en 27 juli startte een gecoördineerde verstoring van operationele technologie (OT), waarna overheidsinstanties in de hele staat in actie kwamen.
Volgens Minnesota IT Services (MNIT) varieerde de impact per systeem. Tegelijkertijd wees de overheid op duidelijke overeenkomsten in timing, toegangsmethoden en het type infrastructuur dat doelwit was. Daardoor kwalificeert de staat de activiteit als gecoördineerd.
Meer dan 30 waterystemen getroffen
MNIT bevestigde dat meer dan dertig water-systemen in Minnesota werden beïnvloed. Daarbij ging het niet om één grote uitval bij alle locaties; sommige installaties konden door met handmatige bediening, terwijl andere juist werden teruggedrongen door het verlies van monitoring of geautomatiseerde besturing.
Meerdere gemeenten deden publiekelijk verslag. Zo meldde Braham dat de waterplant offline ging en vroeg de stad bewoners om tijdelijk watergebruik te beperken totdat de behandeling weer op gang was.
Plymouth rapporteerde problemen met cellulaire communicatie bij water-torens en bij meerdere wastewater lift stations. De gemeente kon echter blijven opereren, weliswaar met handmatige processen.
Geautomatiseerde besturing onder druk
In South St. Paul en Maple Plain bleven de diensten volgens de rapportages doorgaans in stand. Wel hadden de aanvallen gevolgen voor de utility-automatiseringen. Maple Plain verklaarde zelfs een lokale staat van nood om de respons en herstelwerkzaamheden te ondersteunen.
MNIT gaf daarbij aan dat de situatie per locatie verschilde. De aard en omvang van de verstoring werd nog onderzocht, omdat niet bij elk systeem dezelfde onderdelen waren geraakt of dezelfde gevolgen hadden.
Geen publiek bewijs over dader of gelekte data
Ondanks de ernst van de incidenten zijn belangrijke details nog niet openbaar gemaakt. MNIT heeft volgens beschikbare informatie nog geen publiek standpunt ingenomen over de identiteit van de aanvaller, welke producten mogelijk betrokken waren, welke kwetsbaarheid is misbruikt, of of er data is gestolen.
Ook op het gebied van operationele instructies richting bewoners was er begin eind juli voorzichtigheid. MNIT meldde dat het op 28 juli niet bekend was met actieve verzoeken aan inwoners om hun drinkwatergebruik aan te passen. Dat laat zien dat de impact niet overal hetzelfde was en dat autoriteiten per systeem de risico-inschatting bepaalden.
Onderzoek blijft lopen, technische details niet gedeeld
MNIT stelde dat de incidenten vergelijkbare kenmerken vertoonden, waaronder de momenten waarop de verstoringen plaatsvonden en de manier waarop aanvallers toegang verkregen. Deze patronen werden ook door federale partners eerder waargenomen in andere staten en in andere sectoren.
Cruciaal is dat onderzoekers nog niet definitief konden vaststellen of één actor verantwoordelijk was voor alle verstoringen. Ook over technische details communiceerde MNIT terughoudend. Zodra de analyse vordert, kan het beeld veranderen, maar op dit moment wordt de informatiepositie afgewogen tegen het lopende onderzoek.
Overheidsaanpak: containment, herstel en threat intelligence
Om de gevolgen te beperken coördineert MNIT de acties rond containment, forensisch onderzoek, herstel en het delen van threat intelligence. Daarbij werken verschillende partijen samen, waaronder staatsagentschappen, de Cybersecurity and Infrastructure Security Agency (CISA), de Environmental Protection Agency (EPA), de Federal Bureau of Investigation (FBI) en betrokken nutsbedrijven.
MNIT benadrukte dat cyberaanvallen op kritieke infrastructuur een gecoördineerde aanpak vereisen, met betrokkenheid van overheden op meerdere niveaus. Die brede reactie heeft volgens de agency geholpen om de incidenten te beteugelen en ernstigere verstoringen voor vitale dienstverlening te helpen voorkomen.
Andere waarschuwing: aanvallen op internet-facing PLC’s
Vier dagen vóór de gebeurtenissen in Minnesota breidden Amerikaanse instanties een waarschuwing uit over cyberactiviteiten gericht op internet-blootgestelde programmeerbare logic controllers (PLC’s). Daarbij werden namen genoemd als Rockwell Automation, Schneider Electric en Siemens, en mogelijk ook andere fabrikanten.
In die campagne zagen onderzoekers dat aanvallers projectbestanden exfiltreren en wijzigen. Daarnaast zouden ze data die zichtbaar is via human-machine interfaces (HMI’s) manipuleren en functies binnen supervisory control and data acquisition-systemen beïnvloeden. Ook konden shutdown- en alarm-logica worden uitgeschakeld.
De FBI en EPA publiceerden later een afzonderlijke waarschuwing waarin stond dat water- en afvalwaterutilities in minstens zeven staten incidenten meldden. Het betrof daarbij onder meer internet-facing PLC’s van Rockwell Automation/Allen-Bradley met modellen MicroLogix 1100 en 1400. Operaties met andere PLC-merken kregen het advies om vergelijkbare beschermingsmaatregelen toe te passen.
Wat de FBI en EPA concreet zien
Volgens die waarschuwing gingen aanvallen gepaard met het op afstand aanpassen van PLC IP-adressen en wachtwoorden. Daardoor verloren operators mogelijk monitoring en controle. In sommige gevallen degradeerde de waterbediening; gerapporteerde effecten omvatten onder meer verlies van druk en zelfs overstromingsincidenten.
Ten minste één organisatie ontdekte daarnaast gemodificeerde PLC-projectbestanden na het vergelijken van ladder-logic afwijkingen tussen verschillende locaties. De instanties noemden niet publiekelijk welke staten betroffen waren, koppelden de activiteit niet expliciet aan de Minnesota-incidenten, en deden nog geen formele toeschrijving aan een specifieke actor.
Consistent met bredere dreigingscontext, maar nog geen attributie
Een cybersecuritybedrijf gaf aan dat de timing en het operationele patroon consistent leken met een bredere dreigingscontext, maar benadrukte dat de gebeurtenis niet officieel aan een partij was toegeschreven. Evenmin heeft MNIT de aanvallen gelinkt aan specifieke groepen.
Op basis van eerder gepubliceerde waarschuwingen zouden groepen die aan IRGC-CEC gelieerd zijn al sinds ten minste 2023 kritieke infrastructuur targeten via PLC’s en HMI’s. In sommige gevallen leidden die technieken tot operationele onderbrekingen in de water- en afvalwatersector.
Defensieve aanbevelingen voor nutsbedrijven
CISA leverde sector-breed verdedigingsadvies. In essentie komt het neer op het beter zichtbaar maken van toegang en het beperken van blootstelling.
- Log en monitor cellulaire modem-verbindingen.
- Beperk de toegang van controllers tot geautoriseerde systemen.
- Controleer running project files op ongeautoriseerde wijzigingen.
- Valideer backups voordat je herstelt.
- Gebruik, wanneer er een fysieke modeswitch aanwezig is, run mode alleen nadat projectbestanden zijn gevalideerd.
Belangrijk: Minnesota officials hebben publiek geen specifieke PLC-familie, toegangsmethode of gebruikte kwetsbaarheid genoemd voor de incidenten in de staat.
Conclusie
De gecommitteerde cyberaanval water in Minnesota toont hoe kwetsbaar operationele technologie in de watersector kan zijn. Hoewel overheden inmiddels kunnen aangeven dat meer dan dertig systemen werden beïnvloed, blijft het precieze technische verhaal en de mogelijke daderidentiteit nog in onderzoek.
Voor nutsbedrijven onderstreept dit incident vooral het belang van continue monitoring, het controleren van PLC-projectbestanden en het zorgvuldig beheren van toegang tot kritieke besturingssystemen.
Bron: https://thehackernews.com/2026/07/coordinated-cyberattack-targets-30.html
