US-Wasserwerke durch Standardpasswort 1111 kompromittiert
Zusammenfassung
Ende 2023 drangen Angreifer, die US-Behörden dem Iran zuordneten, in mindestens elf Einrichtungen in den USA ein, darunter sechs örtliche Wasserversorger, eine Apotheke, ein Schwimmbad und eine Brauerei. Einige der betroffenen Steuerungen von Unitronics hingen offen im Internet und waren mit dem Standardpasswort 1111 geschützt. Anne Neuberger, stellvertretende Sicherheitsberaterin im Weißen Haus, betonte, dass die Behebung solcher Grundfehler kein Geld kostet.
Was passiert ist
Die Angreifer nutzten speicherprogrammierbare Steuerungen, kurz SPS, des israelischen Herstellers Unitronics. Solche Geräte steuern in Wasserwerken Pumpen, Ventile und Druck. Mit frei verfügbaren Suchdiensten lassen sich Geräte finden, die direkt mit dem Internet verbunden sind. War das Standardpasswort nicht geändert, stand die Tür offen.
Laut den Berichten wurden keine kritischen Abläufe gestört. Die Angreifer veränderten vor allem die Anzeige der Geräte. Die US-Behörde CISA veröffentlichte dazu die Warnung AA23-335A mit konkreten Schutzmaßnahmen.
Warum das ein Grundproblem ist
Viele Anlagen der kritischen Infrastruktur wurden entworfen, bevor sie mit Netzen verbunden wurden, und erst später um Fernzugriff ergänzt. Bequeme Wartung durch mehrere Dienstleister geht dabei oft vor Sicherheit. Experten forderten deshalb, solche Steuerungen grundsätzlich nicht direkt aus dem Internet erreichbar zu machen. Gerade kleine Versorger haben aber selten eigene Sicherheitsfachleute.
Ideen
- Suchdienste für Internetgeräte machen offen erreichbare Steuerungen leicht auffindbar.
- Standardpasswörter auf Industrieanlagen sind ein direktes Einfallstor.
- Fernwartung sollte über abgesicherte Zugänge statt über offene Ports laufen.
Einsichten
- Die wirksamsten Schutzmaßnahmen kosten oft kein Geld, nur Aufmerksamkeit.
- Kleine Betreiber kritischer Infrastruktur sind besonders verwundbar, weil Fachpersonal fehlt.
- Bequemlichkeit bei der Wartung schafft Zugänge auch für Angreifer.
Fakten
- Einige Unitronics-Steuerungen nutzten das Standardpasswort 1111.
- CISA veröffentlichte die Warnung AA23-335A.
Referenzen
Bemerkungen
- Laut den Berichten führten die Angriffe nicht zu Störungen der Wasserversorgung.
Empfehlungen
- Ändere Standardpasswörter aller Steuerungen und Netzwerkgeräte sofort bei der Inbetriebnahme.
- Mache Steuerungen nicht direkt aus dem Internet erreichbar und nutze für Fernwartung ein VPN mit Mehrfaktoranmeldung.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.