De cybercampagne tegen de water- en afvalwatersector in de Verenigde Staten lijkt verder te reiken dan alleen Minnesota. Terwijl meer details naar buiten komen, wijzen berichten erop dat watercyberaanvallen OT inmiddels zeker zeven staten hebben geraakt, met een mogelijke link naar Iran en aandacht voor dezelfde kwetsbare kanten in industriële omgevingen.
Vorige week meldde Minnesota dat op 26 en 27 juli operationele technologie (OT) bij meer dan 30 water- en afvalwaterfaciliteiten werd doelwit. Veel steden communiceerden beperkt, maar burgers kregen in de meeste gevallen geruststellende boodschappen: het drinkwater zou veilig blijven.
Van Minnesota naar meerdere staten
De eerste signalen kwamen uit Minnesota, maar het verhaal kreeg al snel een bredere dimensie. Meerdere media meldden dat bronnen aangeven dat inmiddels minstens zeven staten betrokken zijn.
In Michigan bevestigden autoriteiten dat een klein aantal gemeenschappen met “kwaadwillige” cyberactiviteit te maken kreeg. Daarbij werd benadrukt dat de systemen volgens hen veilig bleven functioneren en dat er geen publieke zorgen over de volksgezondheid waren.
Ook Rapid City in South Dakota communiceerde over een incident. Het ging volgens de stad om een lift station binnen het afvalwatersysteem. De gemeente stelde dat de water- en afvalwaterinfrastructuur nooit in gevaar is gebracht en dat het water veilig en beschermd blijft.
Verder werd Georgia genoemd in berichtgeving. De overige getroffen staten werden op het moment van schrijven niet bij naam genoemd.
Waarom Iran vaak als hoofdverdachte wordt genoemd
Bij dit type aanvallen is het patroon belangrijker dan een enkele dag. In de berichtgeving wordt Iran snel genoemd als primaire verdachte, mede omdat Iraanse actoren in het verleden vaker hebben gericht op ICS (industrial control systems) en andere OT-omgevingen, ook binnen de watersector.
Officieel vanuit de Amerikaanse overheid werd Iran in de aangehaalde context niet publiekelijk als dader aangewezen. Toch zouden federale onderzoekers volgens meerdere media wel naar mogelijke betrokkenheid van Iran kijken.
Daarnaast zou WaterISAC, de sectororganisatie voor informatiedeling en communicatie, een rapport hebben gedeeld waarin de gebeurtenissen in Minnesota “aligned” zouden zijn met eerdere hackingcampagnes die door de VS aan Iran worden gekoppeld. Wel werd aangegeven dat het om een TLP:Amber-document ging dat niet bedoeld was voor brede publieke verspreiding.
Weinig technische details, maar één kwetsbaar punt komt terug
Opvallend: er zijn nog relatief weinig diepgaande technische details beschikbaar uit de publieke statements van getroffen steden. Toch bevatte een verklaring uit Minnesota een belangrijk aanknopingspunt.
Daar werd aangegeven dat het incident zich beperkte tot apparatuur die via cellulaire communicatie verbonden was. Dat maakt de kans groter dat IT/OT-koppelingen richting internet of mobiele infrastructuur een ingang hebben gevormd.
Daar sluit de praktische OT-ervaring van beveiligingsprofessionals bij aan: OT-endpoints die via mobiele netwerken bereikbaar zijn, kunnen een interessant doelwit zijn voor aanvallers die zich willen positioneren richting besturingslogica.
Ter vergelijking: eerder zouden vergelijkbare aanvallen waterfaciliteiten in Israël hebben geraakt via kwetsbare cellulaire routers. Daarmee wordt het verdedigingsbeeld consistent: netwerktoegang rondom het OT-landschap blijft een zwakke schakel.
Wat CISA adviseert: focus op PLC’s en OT-bescherming
Na de meldingen uit Minnesota riep CISA de sector op om OT beter te beveiligen, met nadruk op programmable logic controllers (PLCs). Dat sluit aan op bredere ervaringen: als aanvallers eenmaal in de OT-laag komen, kan dat impact hebben op processen, timing en beschikbaarheid.
Ook voorafgaand aan de Minnesota-incidenten zouden federale instanties een update hebben gedaan op een eerdere advisory. Daarbij waarschuwden ze voor Iraanse aanvallen op OT-apparaten en werden ICS-systemen van o.a. Siemens, Schneider Electric en Rockwell Automation genoemd als doelwit.
Een onafhankelijke observatie komt van Censys. Die rapporteerde dat grofweg 10.000 PLC’s van Rockwell, Siemens en Schneider volgens hun metingen zichtbaar zijn op het internet. Of die systemen ook daadwerkelijk kwetsbaar zijn, is volgens de berichtgeving niet duidelijk.
Praktische verdedigingsstappen voor IT/OT-teams
Omdat de publieke details beperkt zijn, is het verstandig om verdedigingsmaatregelen breed toe te passen op de gedeelde kenmerken van deze aanvallen. Denk daarbij aan drie richtingen: toegangscontrole, segmentatie en zichtbaarheid.
1) Inventariseer OT-endpoints die mobiel of extern bereikbaar zijn
Als het incident (zoals in Minnesota) samenhangt met apparatuur via cellulaire communicatie, begint de aanpak bij inventarisatie. Breng in kaart welke OT-componenten bereikbaar zijn via mobiele verbindingen, gateways of andere routes richting externe netwerken.
Let daarbij niet alleen op het “hoofdsysteem”, maar ook op ondersteunende componenten zoals modems, routers, gateways en remote access-koppelingen.
2) Beperk exposure richting internet
Wanneer PLC’s of verwante componenten blootstaan, vergroot dat de kans op misbruik. Zelfs als niet elk toestel direct kwetsbaar is, is “zichtbaar zijn” al een extra risico: het maakt scanning en gerichte pogingen makkelijker.
Als je geen expliciete operationele noodzaak hebt, kies dan voor afscherming en strengere toegangspaden. Dat is vaak effectiever dan achteraf reageren.
3) Versterk detectie op de grens van IT en OT
Bij OT-aanvallen is tijdigheid cruciaal. Zorg dat je logs, netwerkverkeer en eventuele afwijkende interacties rond remote access en gateways kunt opmerken. Omdat er weinig technische publiek beschikbare indicatoren zijn, helpt een brede detectieaanpak met procescontext.
Wil je verdieping in het bredere thema rond “toegang die vanzelfsprekend lijkt”? Dit soort incidenten sluit ook aan op aandachtspunten rond vertrouwde verbindingen en ketens. Lees bijvoorbeeld: Impliciet vertrouwen in CaptiveCrunch: Wi‑Fi gateway-aanval.
Waarom dit ook voor andere sectoren relevant is
De watersector is niet de enige kritieke infrastructuur waar OT een rol speelt. De gedeelde lessen gaan breder: als OT-systemen via externe routes te bereiken zijn, ontstaat er een pad voor aanvallers. En als PLC’s of aansturingen in scope raken, kan een incident snel opschalen van “verkenning” naar “procesverstoring”.
Daarom is het nuttig om beveiligingsrichtlijnen voor OT niet als een losse activiteit te zien, maar als onderdeel van een doorlopende risico-aanpak. Als je al werkt met patchmanagement en assetbeheer, maak dan de koppeling expliciet naar mobiele/remote componenten en naar netwerksegmentatie tussen IT en OT.
Conclusie: wacht niet op meer publieke details
De berichtgeving rond watercyberaanvallen OT laat zien dat een campagne niet tot één regio beperkt blijft. Met aanwijzingen voor meerdere staten, een mogelijke Iraanse connectie en een terugkerend patroon rond bereikbaarheid via cellulaire communicatie, ligt de nadruk op preventie.
Voor IT/OT-teams komt het neer op één kern: verminder exposure, ken je endpoints en verhoog je detectievermogen. Doe dat vóórdat er weer nieuwe meldingen binnenkomen, en koppel de maatregelen aan wat CISA en andere deskundigen al benadrukken: bescherming van PLC’s en OT-bereikbaarheid.
Ook helpt het om parallel te kijken naar eerdere lessen uit OT-incidenten, zoals beschreven in Implicaties van hacks en patches: wat je nu doet, zodat je responsproces (van triage tot herstel) klaarstaat zodra er aanwijzingen opduiken.
