Çalınan çalışan bilgileri nearly 1.800 ABD'li su sağlayıcısını hackerlara açık hale getiriyor

Beş sağlayıcıdan yaklaşık biri etkilendi

TechCrunch tarafından aktarılan siber güvenlik firması SpyCloud'un yeni araştırması, binin üzerinde ABD'li su ve atık su sağlayıcısının saldırıya açık olduğunu ortaya koydu; çünkü şifre çalan malware, çalışanların giriş bilgilerini ve aktif oturumlarını ele geçirmiş.

SpyCloud, ABD Çevre Koruma Ajansı'na kayıtlı 66.000'den fazla halka açık sistemden oluşan bir veritabanı oluşturdu; bu sistemler yaklaşık 10.000 kuruluşa karşılık geliyor. Bu envanteri infostealer malware'ın topladığı verilerle karşılaştıran firma, 1.787 sağlayıcıdan çalınmış giriş bilgisi tespit etti; bu, incelenen kuruluşların yaklaşık iki onda biri anlamına geliyor. En az 250 kuruluşta, operasyonel ağlara ve uzaktan erişim sistemlerine — yani fiziksel pompaları ve su akışını yöneten katmana — erişim sağladığı görünen bilgiler açığa çıkmış.

Infostealer'lar giriş bilgilerini nasıl ihlale dönüştürüyor

Infostealer'lar, kurbanın kayıtlı şifrelerini web sitelerine ve servislere giriş halinde tutan session token'larıyla birlikte ele geçiren, uzun süredir bilinen bir malware sınıfıdır. Çalınan bir session token, saldırganın meşru kullanıcı olarak oturumu devam ettirmesine olanak tanıyabilir ve bu durum sık sık multi-factor authentication'ı atlatır. TechCrunch'a göre suçlular bu çalınmış bilgileri belirli kuruluşlara erişim elde etmek için rutin olarak takas ediyor ve SpyCloud'un bulguları, herhangi bir AI destekli araç olmadan yalnızca şifre hırsızlığının bile su tesislerini riske atmak için yeterli olduğunu vurguluyor.

Tek bir tedarikçi enfeksiyonu 167 tesis kuruluşuna ulaştı

Analiz, ağında malware bulaşmış bir cihaz bulunan, adı açıklanmayan bir ölçüm teknolojisi tedarikçisini de kapsıyordu. Infostealer, o cihazdan tedarikçiye güvenen 167 ABD'li tesis kuruluşuna ait şifreler dahil büyük bir bilgi deposu topladı. SpyCloud baş soruşturma sorumlusu Jason Lancaster, bu tek ihlalin suçlulara etkili şekilde "birbiriyle ilgisiz yüz kuruluşun" anahtarlarını teslim ettiğini söyledi; bu da tek bir tedarikçinin güvenlik zaafiyetinin sektör genelinde nasıl zincirleme etki yaratabileceğini gösteriyor.

Son dönemdeki İran bağlantılı saldırılardan farklı bir durum

Araştırma, ABD hükümetinin gizlice İran destekli hackerlara atfettiği bir dizi ABD'li su sağlayıcı saldırısının ardından birkaç hafta içinde geldi. SpyCloud, bu olayların çalınmış şifrelere dayandığına dair bir kanıt bulunmadığını belirtti. Bunun yerine belirtiler, kritik altyapıda kullanılan mekanik anahtarlar ve fiziksel denetleyicilerdeki üretici tarafından ayarlanmış varsayılan şifreler gibi güvenlik zafiyetlerine işaret ediyor; SpyCloud'a göre bu sonuç, ABD siber güvenlik kurumu CISA'nın önceki bulgularını yansıtıyor.

Lancaster durumu, su sektörünün "iki hikayeyi aynı anda göğüslemek zorunda" olduğu bir tablo olarak tanımladı: bir yanda savunmasız altyapı donanımı, diğer yanda satın almak veya bulmak isteyen herkesin erişimine açılan çalınmış giriş bilgileri.

Neden önemli

Su sağlayıcıları halk sağlığı ile fiziksel operasyonların kesişiminde yer alıyor ve bu araştırmada öne çıkarılan sistemler yalnızca faturalandırma portallarını değil, pompaları ve akışları kontrol ediyor. Bulgular, sıradan çalışan cihazlarındaki infostealer enfeksiyonları gibi sıradan bir suçun kritik altyapının derinliklerine ulaşabildiğini ve çalınanlar arasında session token'lar da bulunduğunda multi-factor authentication'ın güvenilir bir son savunma hattı olmadığını gösteriyor. Ölçüm tedarikçisi vakası bir tedarik zinciri boyutu ekliyor: kendi ağlarını güvenceye alan tesisler bile güvenilir bir teknoloji tedarikçisi aracılığıyla açığa çıkabilir. Donanımındaki varsayılan şifre kusurlarıyla zaten boğuşan bir sektör için SpyCloud'un rakamları, ele geçirilmiş giriş bilgilerinin paralel ve en az o kadar erişilebilir bir giriş yolu olduğunu gösteriyor.