FBI ו-EPA: תוקפים שיבשו מתקני מים בלפחות שבע מדינות דרך בקרי MicroLogix חשופים

ה-FBI והרשות האמריקאית להגנת הסביבה (EPA) הזהירו ב-30 ביולי 2026 מפני תקיפות על בקרי MicroLogix של Rockwell Automation במתקני מים וביוב. מאז 27 ביולי דיווחו מתקנים בלפחות שבע מדינות על אירועים. בחלק מהמקרים התקיפה פגעה בתפעול המים בפועל.

מה עשו התוקפים לבקרי MicroLogix

בקר (PLC) הוא מחשב תעשייתי קטן שמפעיל משאבות, שסתומים וחיישנים. לפי ההתראה של ה-FBI, התוקפים פנו לבקרים מסדרות MicroLogix 1100 ו-1400 של Allen-Bradley. אלה בקרים שחשופים ישירות לאינטרנט.

אחרי שנכנסו מרחוק, התוקפים החליפו את כתובות ה-IP של הבקרים. הם גם הפעילו סיסמאות משלהם. התוצאה: המפעילים איבדו את הנראות של הציוד, ולפעמים גם את השליטה בו.

ארגון אחד לפחות דיווח על קובצי פרויקט ששונו. הוא הבחין בכך אחרי שמצא אי-התאמות בלוגיקת הסולם (ladder logic) בכמה אתרים. אצל כמה קורבנות גם הגדרות הרשת דמו זו לזו, והן הגיעו מצד שלישי. לפי ההתראה, זה עשוי לאפשר לתוקפים להכפיל את ההצלחות.

הנזק בפועל תלוי במה שהבקר שולט בו. הוא תלוי גם בדגם, ובשאלה אם אפשר לעבור לתפעול ידני. ה-FBI מדווח על ירידת לחץ ועל הצפות. ירידת לחץ עלולה להכניס מי תהום לא מטופלים לצנרת.

מינסוטה והחשד לאיראן: מה ידוע ומה עדיין לא

ההתראה לא מזכירה את מינסוטה ולא מייחסת את התקיפות לגורם מסוים. היא מדברת רק על ״גורמי סייבר עוינים״. אבל באותם ימים ממש, מינסוטה התמודדה עם אירוע גדול משלה.

ב-26 וב-27 ביולי שיבשה מתקפה מעל 30 מערכות מים קהילתיות במינסוטה. סוכנות ה-IT של המדינה (MNIT) תיארה אותה כמתקפה מתואמת על מערכות תפעול (OT). לפי The Register, העיר Braham ביקשה מתושבים לא להשקות מדשאות. העיר Maple Plain הכריזה על מצב חירום, ו-Plymouth ו-South St. Paul אישרו בעיות סייבר.

חברת Tenable חושדת בקבוצה CyberAv3ngers, שממשלת ארה״ב מקשרת למפקדת הסייבר של משמרות המהפכה האיראניים. החשד נשען על דפוס הפעולה ועל התזמון. ב-22 ביולי עדכנה CISA התראה על תוקפים איראניים שמכוונים לבקרים. גורם רשמי לא ייחס את מינסוטה לאיראן, ולכן זה עדיין חשד בלבד.

יש לקבוצה היסטוריה בישראל. בין אוקטובר 2023 לינואר 2024 היא פרצה לפחות ל-75 בקרים של Unitronics. הם היו בארה״ב, בישראל, בבריטניה ובאירלנד. היא ניצלה סיסמאות ברירת מחדל. לפי Tenable, בתחילת דרכה היא גם טענה לשיבושים בישראל, וההערכה בהמשך הייתה שהטענות בדיות.

למה בקרי MicroLogix חשופים הם בעיה, גם בלי חולשה חדשה

ההתראה לא מתארת חולשת קוד חדשה. הבעיה היא חשיפה ישירה לאינטרנט, יחד עם סיסמאות חלשות או ברירות מחדל. זה בדיוק הדפוס של 2023.

מתקנים קטנים הם יעד נוח. לפי Tenable, לרבים מהם אין צוות אבטחה ייעודי. חלקם מנהלים את הבקרים דרך כלי גישה מרחוק, או משאירים אותם חשופים לאינטרנט. ההתראה מזכירה גם מודמים סלולריים שמחברים ציוד בשטח.

ה-FBI מציין שראה את ההתנהגות הזאת רק בבקרים של Rockwell. עם זאת, הוא מבקש להחיל את אותן המלצות על בקרים של יצרנים אחרים.

עוד ב-GEEKLIK: אזהרה משותפת של בריטניה, ה-FBI והולנד: ריגול איראני מתחזה ל-Norton, ל-KeePass ול-Telegram

מה קרה מאז

לפי Tenable, דיווחים מאוחרים הצביעו על תקיפה ב-12 מדינות לפחות. ביניהן מישיגן, ג׳ורג׳יה, דרום דקוטה וניו ג׳רזי. ברשות המים של מחוז Clayton בג׳ורג׳יה ירד הלחץ, והרשות פרסמה הוראה להרתיח מים. הנתונים האלה מבוססים על הפוסט של Tenable, שעודכן עד 10 באוגוסט 2026.