Een aanval op tientallen Amerikaanse waterbedrijven laat zien hoe kwetsbaar industriële besturingssystemen nog altijd zijn. Iraanse staatsgesteunde hackers wisten toegang te krijgen tot programmeerbare logische controllers (PLC’s) die worden gebruikt om waterinstallaties aan te sturen. De aanval doet denken aan Stuxnet, de beruchte cyberaanval op het Iraanse nucleaire programma, maar dan vanuit het tegenovergestelde perspectief.
Waar de Verenigde Staten en Israël met Stuxnet geavanceerde malware inzetten om Iraanse centrifuges te saboteren, richtten Iraanse aanvallers zich deze zomer op de operationele technologie (OT) van Amerikaanse waterbedrijven. Het verschil: Stuxnet was een uiterst complexe operatie waarbij meerdere onbekende kwetsbaarheden (zero-days) werden uitgebuit. De aanvallen op waterbedrijven maakten gebruik van veel eenvoudiger methoden: het misbruiken van zwakke wachtwoorden, slecht beveiligde toegangen en onvoldoende beschermde PLC-omgevingen.
De impact was daardoor niet minder zorgwekkend. De aanvallen verspreidden zich over meerdere Amerikaanse staten en troffen systemen die verantwoordelijk zijn voor de dagelijkse levering en behandeling van water.
PLC’s vormen het hart van kritieke infrastructuur
PLC’s zijn de digitale schakelkasten achter veel industriële processen. Ze sturen pompen, kleppen, drukregelaars en andere fysieke onderdelen aan. In waterbedrijven zorgen ze er bijvoorbeeld voor dat water wordt opgepompt, gezuiverd en naar huishoudens en bedrijven wordt getransporteerd.
Juist deze systemen vormen een aantrekkelijk doelwit voor aanvallers. Veel PLC’s zijn ontworpen voor betrouwbaarheid en beschikbaarheid, maar niet altijd met moderne cybersecurity in gedachten. Veel installaties draaien bovendien al tientallen jaren en bestaan uit apparatuur van verschillende leveranciers.
Dat maakt beveiliging complex. Een waterbedrijf kan slechts een kleine lokale organisatie zijn die een hele gemeente bedient, maar ook verantwoordelijk zijn voor een complete regio. De technische kennis rond IT en OT wordt daarom vaak ingehuurd bij externe leveranciers, systeemintegratoren of gespecialiseerde partners. De kwaliteit en beveiligingsaanpak daarvan verschilt echter sterk.
Verscheidenheid aan systemen maakt beveiliging lastig
Een belangrijk probleem binnen industriële omgevingen is de grote diversiteit aan apparatuur. Eén waterbedrijf kan PLC’s van meerdere fabrikanten gebruiken, met verschillende configuraties, protocollen en beheerinterfaces.
Het actueel houden van wachtwoorden, het invoeren van multifactor-authenticatie en het beperken van externe toegang klinkt eenvoudig, maar is in de praktijk een flinke uitdaging. Zeker wanneer organisaties jarenlang systemen hebben opgebouwd zonder integraal overzicht van alle aangesloten apparaten.
De aanval laat daarmee een bekend probleem binnen OT-security zien: organisaties weten soms onvoldoende welke systemen daadwerkelijk onderdeel zijn van hun productieomgeving en welke verbindingen naar buiten bestaan.
Geen geavanceerde aanval, maar basisbeveiliging ontbrak
Volgens cybersecuritydeskundigen was de aanval vooral succesvol doordat fundamentele beveiligingsmaatregelen niet overal waren toegepast. Aanvallers hoefden geen complexe malware te ontwikkelen of diepgaande kennis van industriële processen te hebben. Het vinden van een zwakke toegang bleek voldoende.
Daarmee lijkt de situatie eerder op het vinden van een reservesleutel onder een deurmat dan op het kraken van een zwaar beveiligde kluis. De vergelijking met Stuxnet maakt vooral duidelijk hoe verschillend moderne cyberaanvallen kunnen zijn. Niet iedere aanval op industriële systemen vereist een team van gespecialiseerde hackers en geavanceerde exploittechnieken. Soms zijn eenvoudige fouten voldoende.
OT-beveiliging vraagt om structurele aanpak
De Amerikaanse cyberautoriteit CISA en de FBI hebben naar aanleiding van de incidenten aanbevelingen gepubliceerd om PLC-omgevingen beter te beschermen. Daarin ligt de nadruk op het inventariseren van systemen, het beperken van internettoegang tot industriële apparatuur, het verbeteren van wachtwoordbeleid en het toepassen van sterkere authenticatie.
Een eerste stap is volgens beveiligingsexperts inzicht krijgen in de eigen omgeving. Organisaties moeten weten welke PLC’s actief zijn, welke verbindingen bestaan en welke systemen vanaf internet bereikbaar zijn. Ook monitoring van afwijkend gedrag is belangrijk: een PLC die plotseling vanaf een onbekende locatie wordt benaderd, moet direct opvallen.
Daarnaast is segmentatie essentieel. Een PLC-netwerk zou niet rechtstreeks toegankelijk moeten zijn vanuit reguliere IT-omgevingen of het openbare internet. Door industriële netwerken logisch te scheiden, wordt voorkomen dat een aanvaller eenvoudig kan doorgroeien naar kritieke systemen.
Lessen gelden voor alle industrieën
Hoewel de recente aanvallen gericht waren op waterbedrijven, zijn de lessen breed toepasbaar. Vrijwel iedere industriële sector maakt gebruik van PLC’s en vergelijkbare OT-systemen: van energie en chemie tot voedingsmiddelenproductie en logistiek.
De belangrijkste boodschap is dat OT-security niet alleen draait om het beschermen van geavanceerde systemen tegen geavanceerde aanvallen. De basis moet op orde zijn: actuele inventarisatie, sterke toegangsbeveiliging, netwerksegmentatie en continue monitoring.
De aanvallen op Amerikaanse waterbedrijven laten opnieuw zien dat industriële cyberveiligheid niet langer een technisch detail is voor automatiseringsteams. PLC’s vormen de directe verbinding tussen digitale systemen en fysieke processen. Wie deze systemen onvoldoende beschermt, loopt het risico dat een digitale aanval uiteindelijk fysieke gevolgen krijgt.