Infrastruktura krytyczna na celowniku hakerów – czy można ją skutecznie zabezpieczyć?

W dobie gwałtownego rozwoju technologii oraz intensyfikacji zagrożeń cybernetycznych, ochrona infrastruktury krytycznej stała się jednym z priorytetów zarówno dla podmiotów publicznych, jak i przedsiębiorstw komercyjnych. Infrastruktura krytyczna, obejmująca systemy sterowania przemysłowego (ICS), programowalne sterowniki logiczne (PLC) czy systemy SCADA, pełni ważną rolę w zapewnianiu ciągłości działania m.in. sieci energetycznych, systemów transportowych czy infrastruktury oczyszczania ścieków. Integracja środowisk IT i OT, choć przynosi wymierne korzyści operacyjne, niesie ze sobą również nowe ryzyka – stanowiące atrakcyjny cel dla cyberprzestępców, hakerów działających na zlecenie oraz państwowych podmiotów zainteresowanych destabilizacją funkcjonowania strategicznych obszarów gospodarki.

Ostatnie incydenty, które miały miejsce zarówno w sektorze publicznym, jak i prywatnym, pokazują, że niedostatecznie zabezpieczone systemy sterowania przemysłowego mogą prowadzić do poważnych zakłóceń – od przerw w dostawie energii, przez utrudnienia w komunikacji miejskiej, aż po konsekwencje ekonomiczne i społeczne wynikające z awarii kluczowych usług. W obliczu tak rosnącego zagrożenia, analiza mechanizmów ataku oraz zrozumienie, jakie luki bezpieczeństwa mogą zostać wykorzystane przez atakujących, staje się niezbędna.

Niniejszy artykuł podejmuje próbę przybliżenia obecnego krajobrazu zagrożeń w obszarze infrastruktury krytycznej OT. Przedstawimy w nim zarówno teoretyczne podstawy funkcjonowania systemów sterowania przemysłowego, jak i przykłady znanych  ataków, które uwypuklają skalę i charakter współczesnych cyberzagrożeń. Celem tekstu jest zarysowanie problematyki, która w sposób kompleksowy ukazuje, dlaczego bezpieczeństwo systemów OT powinno być stałym elementem strategii zabezpieczeń w każdej organizacji – zarówno tej działającej w sektorze publicznym, jak i komercyjnym.

Infrastruktura krytyczna OT – definicje i znaczenie

Operational Technology (OT) odnosi się do technologii operacyjnych, które służą do monitorowania oraz sterowania procesami przemysłowymi w infrastrukturze krytycznej. Do tej grupy należą m.in. systemy sterowania przemysłowego (ICS), programowalne sterowniki logiczne (PLC) oraz systemy SCADA (Supervisory Control And Data Acquisition). Systemy SCADA umożliwiają zdalne zbieranie, monitorowanie i analizę danych w czasie rzeczywistym, co jest istotne dla podejmowania decyzji operacyjnych oraz utrzymania ciągłości działania procesów przemysłowych.

W odróżnieniu od środowisk IT, które koncentrują się przede wszystkim na przetwarzaniu, przechowywaniu i przesyłaniu danych, OT skupia się na bezpośrednim zarządzaniu procesami fizycznymi, co czyni je kluczowymi dla funkcjonowania m.in. sieci energetycznych, systemów transportowych czy zakładów przemysłowych.

Integracja OT z IT jest obecnie nieunikniona – postęp technologiczny oraz potrzeba optymalizacji procesów operacyjnych skłaniają organizacje do łączenia tradycyjnych systemów sterowania z nowoczesnymi rozwiązaniami informatycznymi. Takie połączenie umożliwia szybszy dostęp do danych, zdalne zarządzanie oraz lepsze monitorowanie procesów. Jednakże, jednocześnie wprowadza nowe wyzwania w zakresie bezpieczeństwa. Systemy OT, pierwotnie projektowane z myślą o zamkniętych środowiskach, stają się narażone na ataki cybernetyczne, które wcześniej były typowe dla środowisk IT. W wyniku tej integracji luka między tradycyjnymi rozwiązaniami sterującymi a nowoczesnymi systemami IT wymaga wdrożenia dedykowanych strategii zabezpieczeń, które chronią zarówno procesy przemysłowe, jak i przepływ danych.

Znaczenie infrastruktury krytycznej OT przejawia się w szeregu kluczowych sektorów gospodarki i obszarów działania państwa. Przykładowo:

Infrastruktura krytyczna OT jest fundamentem funkcjonowania wielu sektorów – jej nieprawidłowe zabezpieczenie może prowadzić do poważnych konsekwencji operacyjnych, ekonomicznych i społecznych. Dlatego też zrozumienie mechanizmów działania tych systemów oraz identyfikacja potencjalnych luk w zabezpieczeniach stanowi bardzo istotny element strategii ochrony przed rosnącymi zagrożeniami cybernetycznymi.

Krajobraz zagrożeń – aktualne wyzwania cyberbezpieczeństwa

W ostatnich latach obserwujemy znaczący wzrost cyberataków wymierzonych w infrastrukturę krytyczną OT. Połączenie systemów IT z OT zwiększa liczbę potencjalnych wektorów ataku – systemy sterowania przemysłowego, pierwotnie zaprojektowane do funkcjonowania w izolowanych środowiskach, stają się teraz atrakcyjnym celem zarówno dla cyberprzestępców, jak i dla grup działających na rzecz państwowych interesów.

Ewolucja zagrożeń
Współczesne ataki cechuje wysoka specjalizacja i złożoność. Przykłady publikowane przez takie serwisy jak Oko.press czy Cyberdefence24 wskazują, że cyberprzestępcy coraz częściej wykorzystują malware opracowane z myślą o specyficznych protokołach stosowanych w OT oraz ataki typu ransomware, które mogą sparaliżować działanie kluczowych systemów.

Różnorodność aktorów zagrożeń
Wśród sprawców cyberataków wyróżnić można trzy główne grupy:

Wyzwania wynikające z konwergencji IT i OT
Integracja systemów IT z OT, mimo że umożliwia bardziej efektywne zarządzanie procesami, rodzi nowe wyzwania w zakresie bezpieczeństwa. Tradycyjne metody zabezpieczeń okazują się niewystarczające, gdyż współczesne ataki często łączą techniki znane ze środowisk IT z metodami specyficznymi dla OT. Raporty takie jak te prezentowane przez Wired pokazują, że zabezpieczenie infrastruktury krytycznej wymaga zastosowania nowoczesnych rozwiązań, umożliwiających stałe monitorowanie i błyskawiczną reakcję na incydenty.

Rosnąca liczba i złożoność cyberataków wymusza na organizacjach ciągłe dostosowywanie strategii bezpieczeństwa, aby skutecznie chronić infrastrukturę krytyczną OT przed nowymi zagrożeniami.

Wybrane przypadki ataków na infrastrukturę OT

Atak na systemy MPK w Krakowie

W wyniku ataku hakerskiego na systemy informatyczne MPK Kraków doszło do poważnych zakłóceń w działaniu aplikacji mobilnych, służących do weryfikacji ważności biletów miesięcznych. Zgodnie z relacją zawartą w Gazecie Krakowskiej, incydent spowodował, że aplikacje nie wyświetlały poprawnie informacji o posiadanych biletach. W praktyce oznaczało to, że pasażerowie, mimo posiadania ważnego biletu miesięcznego, nie mogli go przedstawić kontrolerom podczas kontroli biletów.

W efekcie, gdy kontrolerzy nie mogli potwierdzić posiadania biletu – co było zależne od danych wyświetlanych przez aplikację – wystawiano mandaty osobom, które w rzeczywistości posiadały ważny bilet. Ta sytuacja zmuszała użytkowników komunikacji miejskiej do składania odwołań od nałożonych kar, co generowało dodatkowe problemy administracyjne oraz frustrację wśród pasażerów. Incydent ujawnił również krytyczne luki w zabezpieczeniach systemu sprzedaży i weryfikacji biletów, wskazując na konieczność podjęcia pilnych działań naprawczych i wzmocnienia infrastruktury informatycznej MPK Kraków. Informacje przekazane przez MPK w Krakowie donosiły też, że atak hakerów na systemy informatyczne zbiegł się w czasie z działaniami sabotażowymi, których celem była infrastruktura elektryczna.

Atak na system MPK we Wrocławiu

Atak polegał na wykorzystaniu błędów konfiguracyjnych – kostarykański haker, korzystając z niezmienionych domyślnych haseł, uzyskali dostęp do systemu sterowania komunikacją miejską. Informacje medialne (np. TVN24) podkreślają, że już pierwsza próba dostępu była skuteczna, co wskazuje na rażące zaniedbania w zakresie zabezpieczeń.

Ataki na oczyszczalnię ścieków w Wydminach

W regionie Mazur odnotowano incydent, który miał charakter propagandowy, ale jednocześnie ilustruje, jak cyberprzestępcy, w tym przypadku z Rosji, mogą ingerować w krytyczne systemy. W ataku na oczyszczalnię ścieków (informacje dostępne m.in. w analizach Cyberdefence24) wykorzystano błędną konfigurację urządzania. Na swoim kanale na Telegramie, Cyber Army of Russia Reborn opublikowała film z działań w panelu sterowania oczyszczalni, do którego uzyskała nieautoryzowany dostęp. 

Atak na Colonial Pipeline

7 maja 2021 roku Colonial Pipeline – amerykański system przesyłowy paliw, który transportuje benzynę i paliwo lotnicze głównie do południowo-wschodniej części Stanów Zjednoczonych – padł ofiarą ataku ransomware. Cyberprzestępcy, posługując się złośliwym oprogramowaniem, zdołali zakłócić działanie komputerowych systemów zarządzających infrastrukturą przesyłową. W celu powstrzymania dalszych naruszeń, Colonial Pipeline Company zdecydowała się na całkowite zatrzymanie operacji. Współpracując z FBI, firma zapłaciła okup w wysokości 75 bitcoinów (około 4,4 mln USD) w zamian za narzędzie deszyfrujące – choć narzędzie to działało bardzo wolno, co wydłużyło proces przywracania normalnego funkcjonowania systemu. W wyniku ataku doszło do przerwania przepływu paliw, co wywołało panikę, ograniczenia dostaw oraz znaczące wzrosty cen paliw na rynku krajowym.

Konsekwencje i reakcje:

Cyberatak na ukraiński system energetyczny (grudzień 2015)

W grudniu 2015 roku doszło do pierwszego potwierdzonego cyberataku na ukraiński system energetyczny. Atak ten, przypisywany najprawdopodobniej państwowym grupom hakerskim, polegał na infiltracji systemów sterowania (SCADA) zarządzających dystrybucją energii elektrycznej. W wyniku ataku, kilka regionalnych przedsiębiorstw energetycznych zostało zmuszonych do tymczasowego odłączenia zasilania, co doprowadziło do przerw w dostawie prądu dla około 230 tysięcy klientów.

Mechanizmy ataku:

Konsekwencje:

Atak Stuxnet (2009–2010, Iran)

Stuxnet to jeden z najbardziej znanych cyberataków na infrastrukturę krytyczną, odkryty w 2010 roku. Jest to wysoce zaawansowany robak komputerowy, który został skonstruowany, aby zakłócić pracę irańskich instalacji wzbogacania uranu.

Mechanizmy ataku:

Konsekwencje:

Cyberatak na stacje paliw w Iranie

W poniedziałek 18 grudnia 2023 r. około 70% irańskich stacji paliw zostało sparaliżowanych w wyniku cyberataku przeprowadzonego przez grupę hakerską Drapieżny Wróbel (Gonjeshke Darande). Atak ten, według oświadczenia sprawców, był odpowiedzią na działania Islamskiej Republiki Iranu i jej sojuszników w regionie.

Mechanizmy ataku:

Hakerzy przejęli kontrolę nad systemami zarządzającymi dystrybucją paliwa na stacjach, co uniemożliwiło ich normalne funkcjonowanie i zmusiło obsługę do przejścia na ręczny tryb pracy pomp. Drapieżny Wróbel miał techniczną możliwość całkowitego unieruchomienia wszystkich stacji w kraju, jednak – jak twierdzi – celowo pozostawił część z nich nienaruszonych oraz ostrzegł służby ratunkowe przed rozpoczęciem ataku.

Grupa opublikowała oświadczenie na platformie X (dawniej Twitter), przyznając się do operacji. W przeszłości była już odpowiedzialna za cyberataki na irańskie sieci kolejowe, zakłady przemysłowe i inne stacje paliw. Zdaniem Times of Israel organizacja ta jest powiązana z Izraelem.

Konsekwencje:

Zakłócenie systemu dystrybucji paliwa miało bezpośredni wpływ na infrastrukturę i codzienne funkcjonowanie milionów Irańczyków. Wiele stacji musiało przejść na manualne sterowanie pompami, co znacząco utrudniło tankowanie. Irańska Agencja Obrony Cywilnej rozpoczęła śledztwo w sprawie ataku, próbując zidentyfikować sprawców i skalę naruszenia bezpieczeństwa systemów informatycznych.

Ministerstwo Ropy Naftowej zapewniło, że atak nie wpłynie na ceny paliwa, które są silnie subsydiowane przez państwo. W przeszłości jakiekolwiek podwyżki cen paliwa prowadziły do masowych protestów, jak miało to miejsce w 2019 roku. Podobny incydent cybernetyczny dotknął Iran w październiku 2021 roku, a wówczas władze oskarżyły o niego Izrael i Stany Zjednoczone.

Mechanizmy ataków oraz przykłady celów

W tej części artykułu skupimy się na metodach wykorzystywanych przez cyberprzestępców, które umożliwiają uzyskanie nieautoryzowanego dostępu do systemów OT. Ataki te przyjmują zarówno zaawansowane formy, jak i bardzo proste, wynikające z podstawowych zaniedbań administracyjnych.

Typowe wektory ataku

Przykłady celów ataku

Podsumowując, mechanizmy ataku na infrastrukturę krytyczną OT obejmują zarówno zaawansowane techniki wykorzystujące luki w oprogramowaniu, jak i proste, lecz niezwykle niebezpieczne błędy wynikające z zaniedbań konfiguracyjnych. Nawet pozornie drobne uchybienia, takie jak pozostawienie domyślnych haseł, mogą otworzyć drogę do poważnych incydentów, wpływając negatywnie na funkcjonowanie całego systemu.

Konsekwencje cyberataków na infrastrukturę krytyczną

Cyberataki wymierzone w systemy OT niosą za sobą wielowymiarowe skutki, oddziałujące zarówno na działanie procesów przemysłowych, jak i na funkcjonowanie gospodarki oraz bezpieczeństwo społeczne. W przeciwieństwie do ataków skierowanych wyłącznie na środowiska IT, incydenty dotyczące infrastruktury krytycznej mogą wywołać przerwy w działaniu kluczowych usług i procesów operacyjnych.

Skutki operacyjne
Atak na systemy sterowania przemysłowego często powoduje bezpośrednie przerwy w produkcji lub funkcjonowaniu krytycznych usług. Przykładowo, zatrzymanie linii produkcyjnej, wyłączenie systemów dystrybucji energii czy zakłócenia w systemach transportowych mogą skutkować natychmiastowym wstrzymaniem operacji, co nie tylko wpływa na efektywność przedsiębiorstwa, ale również na bezpieczeństwo i komfort funkcjonowania społeczeństwa. W sytuacjach krytycznych nawet krótkotrwałe przestoje mogą prowadzić do poważnych strat, uszkodzeń sprzętu lub zagrożeń dla zdrowia publicznego.

Skutki dla zdrowia publicznego

Manipulacja dawkami chemikaliów stosowanych w systemach uzdatniania wody to jeden z szczególnie niebezpiecznych scenariuszy, który może bezpośrednio zagrozić zdrowiu publicznemu. Zmiany w dawkowaniu chemikaliów, mogą doprowadzić do skażenia wody pitnej, co stwarzałoby bezpośrednie zagrożenie dla zdrowia mieszkańców – od ostrych zatruć po długoterminowe skutki zdrowotne wynikające z chronicznego narażenia na nieodpowiednie stężenia chemikaliów.

Aspekty ekonomiczne
Skala strat finansowych związanych z cyberatakami na infrastrukturę krytyczną jest trudna do oszacowania. Incydenty te generują koszty bezpośrednie, takie jak przestoje, naprawy czy wymiana uszkodzonego sprzętu, a także koszty pośrednie wynikające z utraty zaufania klientów, spadku wartości rynkowej przedsiębiorstw czy konieczności inwestycji w nowe zabezpieczenia. Efekt domina – gdzie zakłócenia jednego elementu infrastruktury prowadzą do problemów w innych sektorach – dodatkowo potęguje ekonomiczne reperkusje ataku, oddziałując na cały łańcuch dostaw i funkcjonowanie gospodarki.

Społeczne reperkusje
Zakłócenia wywołane cyberatakami na infrastrukturę krytyczną mogą mieć także znaczące konsekwencje społeczne. Przerwy w działaniu systemów transportowych, energetycznych czy wodociągowych wpływają bezpośrednio na codzienne życie obywateli, generując chaos i podnosząc poziom niepewności w społeczeństwie. Długotrwałe incydenty mogą również osłabić zaufanie do instytucji odpowiedzialnych za utrzymanie bezpieczeństwa publicznego, co w konsekwencji może wpłynąć na nastroje społeczne oraz wywołać presję na zmiany legislacyjne i inwestycje w systemy ochronne.

Podsumowując, cyberataki na infrastrukturę krytyczną OT powodują poważne konsekwencje, które obejmują zarówno bezpośrednie zakłócenia operacyjne, jak i długofalowe skutki ekonomiczne oraz społeczne. Zrozumienie tych reperkusji jest kluczowe dla podejmowania adekwatnych działań obronnych, mających na celu minimalizowanie ryzyka oraz ograniczenie strat w przypadku wystąpienia incydentu.

Strategie obrony – jak zabezpieczyć infrastrukturę krytyczną

W obliczu rosnącej liczby i złożoności cyberzagrożeń, ochrona infrastruktury krytycznej OT wymaga podejścia wielowarstwowego, które łączy nowoczesne rozwiązania techniczne z dobrze opracowanymi procedurami oraz politykami bezpieczeństwa. Kluczowym celem jest stworzenie strategii, która nie tylko minimalizuje ryzyko nieautoryzowanego dostępu, ale również umożliwia szybką reakcję w sytuacji incydentu.

Kluczowe elementy strategii obrony:

Gdzie szukać dalszych informacji?

Zachęcamy do obejrzenia bezpłatnego webinarium „OSINT a bezpieczeństwo infrastruktury krytycznej”, w którym nasz ekspert – Kamil Folga w przystępny sposób sygnalizuje zagrożenia oraz metody ich skutecznej neutralizacji.

Aby dalej pogłębić swoją wiedzę na temat skutecznych strategii obrony infrastruktury krytycznej OT, warto zwrócić uwagę na szkolenie „Bezpieczeństwo Infrastruktury Krytycznej OT” prowadzone przez Kamila Folgę. Uczestnicy szkolenia mają możliwość nie tylko zapoznania się z najnowszymi rozwiązaniami, ale również praktycznego przećwiczenia różnych scenariuszy obrony.