W dniach 26–27 lipca 2026 roku ponad 30 gminnych systemów wodociągowych w amerykańskim stanie Minnesota padło ofiarą skoordynowanego cyberataku. Napastnicy nie celowali w strony internetowe ani biurowe komputery — uderzyli bezpośrednio w technologię operacyjną (OT), czyli urządzenia sterujące fizycznym procesem uzdatniania i dystrybucji wody. Amerykańskie agencje wywiadowcze wstępnie oceniły, że za atakiem stoi najprawdopodobniej Iran, a badacze wskazują na grupę CyberAv3ngers powiązaną z irańskim Korpusem Strażników Rewolucji.
Jak przebiegał atak
Hakerzy dostali się do infrastruktury przez sterowniki PLC (programowalne sterowniki logiczne) podłączone bezpośrednio do internetu — te same urządzenia, przez które integratorzy zdalnie zarządzają pompami, zaworami i procesem uzdatniania. Celem były również panele HMI, czyli interfejsy, z których operatorzy monitorują pracę stacji. Po przejęciu dostępu napastnicy wyłączyli automatyczne sterowanie w kilkudziesięciu obiektach jednocześnie.
Kryzysu uniknięto dzięki procedurom awaryjnym. Ekipy techniczne odizolowały zaatakowane systemy, wgrały kopie zapasowe i przełączyły stacje na sterowanie ręczne. Woda pitna przez cały czas pozostawała bezpieczna i żadna gmina nie musiała ograniczać jej zużycia. Gdyby jednak zabrakło ludzi znających „analogowe” procedury, skutki mogłyby być znacznie poważniejsze.
CyberAv3ngers — stary znajomy operatorów infrastruktury
Grupa CyberAv3ngers nie jest anonimowa. To formacja formalnie łączona z cybernetycznym ramieniem irańskiego Korpusu Strażników Rewolucji, która już wcześniej atakowała amerykańskie i europejskie wodociągi — głośny był m.in. atak na sterowniki Unitronics w 2023 roku. Badacze z firmy Tenable wskazali, że taktyka użyta w Minnesocie pokrywa się z wcześniejszymi kampaniami tej grupy. Agencja CISA ostrzega, że lista celów systematycznie się poszerza.
Ten scenariusz powinien brzmieć znajomo także w Polsce. CERT Polska i CSIRT-y sektorowe od miesięcy raportują próby ataków na polskie wodociągi i infrastrukturę komunalną — małe gminne przedsiębiorstwa są łakomym kąskiem, bo dysponują skromnym budżetem na bezpieczeństwo, a ich urządzenia OT bywają latami niezmieniane i dostępne z internetu.
Jak chronić infrastrukturę przemysłową
Wnioski z Minnesoty są uniwersalne i dotyczą każdej firmy korzystającej z automatyki przemysłowej, nie tylko wodociągów. Po pierwsze: sterowniki PLC i panele HMI nigdy nie powinny być wystawione bezpośrednio do internetu — zdalny dostęp wyłącznie przez VPN z uwierzytelnianiem wieloskładnikowym. Po drugie: zmień domyślne hasła na wszystkich urządzeniach OT, bo to właśnie fabryczne dane logowania są najczęstszym wektorem ataku na tę klasę sprzętu. Po trzecie: oddziel sieć OT od sieci biurowej (segmentacja), aby przejęcie komputera księgowej nie otwierało drogi do pomp i zaworów. Po czwarte: utrzymuj i regularnie ćwicz procedury sterowania ręcznego — w Minnesocie to właśnie one uratowały sytuację.
Podsumowanie
Atak na wodociągi w Minnesocie pokazuje, że cyberwojna coraz częściej dotyka fizycznego świata — wody w kranie, prądu w gniazdku, ciepła w kaloryferach. Napastnicy państwowi nie potrzebują wyrafinowanych exploitów, gdy sterowniki przemysłowe stoją otworem w internecie z fabrycznymi hasłami. Dla operatorów infrastruktury — również tej gminnej, w Polsce — lekcja jest prosta: odciąć OT od internetu, wdrożyć segmentację i mieć przećwiczony plan B na wypadek, gdy automatyka zawiedzie.
źródło: https://cybernews.com/security/minnesota-water-systems-cyberattack-iranian-hackers/