Zmieniła się lista producentów i nikt o tym nie napisał

7 kwietnia 2026 roku amerykańska agencja CISA opublikowała zalecenie AA26-097A, opisujące wykorzystywanie sterowników programowalnych dostępnych z internetu w usługach publicznych, w wodociągach i kanalizacji oraz w energetyce. Wymieniony sprzęt to jednostki Rockwell Automation Allen-Bradley, a opisywana aktywność sięgała marca. Dla europejskiego operatora brzmiało to jak amerykański problem z amerykańskim sprzętem.

22 lipca zalecenie zaktualizowano. Nowa wersja rozszerzyła listę sprzętu o sterowniki Schneider Electric i Siemensa obok Rockwella, dodała wskazówki wykrywania zmanipulowanych modułów kodu i opublikowała nowe wskaźniki obejmujące okres od września 2025 do lipca 2026 roku. Cztery dni później, między 26 a 27 lipca, skoordynowany atak uderzył w ponad trzydzieści komunalnych systemów wodociągowych w Minnesocie.

Od tamtej pory wszystkie nagłówki dotyczą samego ataku albo tego, kto go przeprowadził. Częścią, która przekracza Atlantyk, jest lista producentów, a zmieniła się dziewięć dni temu.

Trzy sterowniki, które teraz padają z nazwy

Zalecenie wymienia Rockwell Automation CompactLogix i Micro850, Schneider Electric Modicon M340 oraz serię Siemens S7-1200. Dwie z tych trzech rodzin to standardowe wyposażenie europejskiej rozdzielni. Baza zainstalowana Rockwella skupia się w Ameryce Północnej; Siemens i Schneider to producenci europejscy, których sterowniki prowadzą europejskie uzdatnianie wody, oczyszczanie ścieków, przetwórstwo spożywcze i produkcję przemysłową.

Ta zmiana nie opisuje wady produktu. Nic w zaleceniu nie mówi o nowo ujawnionej podatności w produkcie Siemensa czy Schneidera. Mowa o sterownikach osiągalnych z publicznego internetu, chronionych domyślnymi lub nigdy niezmienionymi hasłami, których programy następnie zmieniono. Ta ekspozycja to decyzja konfiguracyjna i dostępowa, podjęta zwykle przed laty przez integratora i rzadko od tamtej pory rewidowana.

To rozróżnienie przesądza, kto jest winien naprawy. Podatność produktu to poprawka, na którą się czeka. Wystawiony sterownik to rejestr majątku i ścieżka zdalnego dostępu, a jedno i drugie należy do ciebie.

Technika przeniosła się z hasła do logiki

W 2023 i 2024 roku ten sam sektor ucierpiał przez sterowniki serii Unitronics Vision: co najmniej 75 urządzeń w Stanach Zjednoczonych, Izraelu, Wielkiej Brytanii i Irlandii przejęto dzięki domyślnym hasłom, których nigdy nie zmieniono. To był problem dostępu z odpowiedzią po stronie dostępu. Kampania z 2026 roku działa na innym poziomie.

Zalecenie opisuje trzy ruchy po kolei. Oprogramowanie inżynierskie producenta, uruchomione na infrastrukturze hostowanej przez podmiot trzeci, posłużyło do wyciągnięcia plików projektowych sterowników ze środowisk ofiar. Następnie zmanipulowano Add-On Instructions, czyli wielokrotnie używane moduły kodu wbudowane w te programy, aby wyłączyć wyłączniki bezpieczeństwa i alarmy. Na końcu zmieniono dane zasilające ekrany HMI i SCADA, dzięki czemu urządzenia mogły pracować poza bezpiecznymi granicami, a pulpit operatora nie pokazywał niczego niezwykłego.

Obok tego stoją kroki prostsze: zmienione hasła administratora, które zamykają operatorowi drogę do własnego sterownika, oraz zmienione ustawienia adresów IP, odcinające sterownik od sieci, która go nadzoruje. Polityka haseł odpowiada na atak z 2023 roku. Żadna polityka haseł nie odpowiada na przepisany alarm.

Dwie godziny w Braham to fakt kadrowy

Braham w Minnesocie liczy około 1700 mieszkańców. Atak unieruchomił skomputeryzowane sterowanie studnią i stacją uzdatniania wody, a załogi przywróciły ruch w ciągu dwóch godzin. Incydenty zgłosiły również Plymouth, South St Paul i Maple Plain, a łącznie 26 i 27 lipca dotkniętych zostało ponad trzydzieści gmin.

To, co przywróciło Braham w dwie godziny, to ludzie potrafiący prowadzić zakład ręcznie. To pozycja kadrowa, a nie pozycja w budżecie bezpieczeństwa, i akurat ją tnie się najczęściej z argumentem, że proces przecież jest zautomatyzowany. W zgłoszonych dotąd incydentach jakość wody pitnej nie ucierpiała, choć komunikat CISA z 30 lipca wymienia nakazy przegotowania wody i długotrwałą pracę ręczną wśród skutków, jakie ta aktywność wywołała.

Co do sprawstwa nic nie jest przesądzone. Żadna agencja federalna ani stanowa nie przypisała formalnie ataków w Minnesocie. Notatka WaterISAC powołuje się na Minnesota Fusion Center, według którego aktywność jest zbieżna z kampanią opisaną przez CISA, choć bez bezpośrednich dowodów; sposób działania odpowiada grupie CyberAv3ngers, formalnie przypisywanej dowództwu cybernetyczno-elektronicznemu irańskiej Gwardii Rewolucyjnej; amerykańskie służby mają podejrzewać Iran, a prezydent publicznie temu zaprzeczył. Żadne z tych stanowisk nie zmienia ani jednego środka, który byś wdrożył.

Trzy pytania, które obejdą się bez sprawcy

Po pierwsze: poproś swojego integratora o każdą ścieżkę zdalnego dostępu do sterownika i nie przyjmuj schematu sieci jako odpowiedzi. Schemat dokumentuje projekt; ekspozycja bierze się zwykle z tego, co dodano później na potrzeby umowy serwisowej, uruchomienia instalacji albo dyżuru poza godzinami pracy. Komunikat CISA z 30 lipca, wydany wspólnie z agencją środowiskową EPA i FBI, żąda dokładnie trzech rzeczy: zdjąć sterowniki z publicznego internetu i sięgać do nich przez VPN lub bramę, włączyć ochronę hasłem i zmienić każdą wartość domyślną oraz dopuścić wyłącznie znane adresy na białej liście.

Po drugie: czy potrafisz dziś zgrać program sterownika i porównać go z ostatnią zatwierdzoną wersją, łącznie z Add-On Instructions? Jeśli uczciwa odpowiedź brzmi, że działający program istnieje wyłącznie w samym sterowniku, to opisana w zaleceniu manipulacja nie ma w twoim zakładzie żadnej ścieżki wykrycia. Skutecznym środkiem jest tu podpisany i wersjonowany zapis tego, jak logika ma wyglądać, a większość instalacji nie potrafi go okazać.

Po trzecie: czy twój test alarmu dowodzi, że alarm wyzwala się z procesu, czy tylko że ekran umie go narysować? Sprawa sięga dalej niż hala. Woda i ścieki są sektorami kluczowymi z załącznika I do NIS2, więc poważny incydent niesie wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72, a za środki odpowiada organ zarządzający. W Polsce ta droga prowadzi przez CSIRT NASK i ustawę o krajowym systemie cyberbezpieczeństwa. Termin biegnie od chwili powzięcia wiedzy, a technika zbudowana po to, by zmienić naraz logikę bezpieczeństwa i ekran, który o niej informuje, jest techniką zbudowaną po to, by tę chwilę opóźnić.

Czytaj dalej: Pierwsza platforma agentów AI, którą CISA każe pilnie załatać  |  Poprawka SharePoint, którą pominąłeś w maju, jest teraz pilna