Çalınan şifreler ABD’deki su sağlayıcılarını siber riske atıyor

ABD’deki su ve atık su hizmeti sağlayıcıları, yalnızca teknik sistemlerdeki açıklar nedeniyle değil, çalışanların çalınan parolaları ve oturum bilgileri yüzünden de siber saldırı riski taşıyor. Siber güvenlik şirketi SpyCloud tarafından yapılan araştırma, parola hırsızlığı yapan kötü amaçlı yazılımların ülke genelindeki yüzlerce kuruluşun ağlarına giriş için kullanılabilecek kimlik bilgilerini ele geçirdiğini gösterdi.

Araştırmacılar, ABD Çevre Koruma Ajansı’na kayıtlı yaklaşık 10 bin kuruluşla ilişkili, internete açık 66 binden fazla sistemi inceledi. Analiz sonucunda 1.787 kuruluşun bilgilerinin bilgi hırsızı olarak adlandırılan zararlı yazılımlar tarafından ele geçirildiği belirlendi. Bu sayı, incelenen su hizmeti sağlayıcılarının yaklaşık beşte birine karşılık geliyor.

Operasyonel sistemlere erişim ihtimali var

Ele geçirilen her hesabın fiziksel altyapıyı kontrol ettiği anlamına gelmiyor. Ancak SpyCloud, en az 250 kuruluşta ortaya çıkan kimlik bilgilerinin operasyonel ağlara ve uzaktan erişim sistemlerine ulaşmayı sağlayabilecek nitelikte göründüğünü belirtti. Bu sistemler, su pompaları ve su akışını yöneten fiziksel ekipmanlarla bağlantılı olabiliyor.

Bu nedenle çalınan bir parola, yalnızca e-posta veya ofis bilgisayarları için risk oluşturmuyor. Saldırganlar yeterli yetkiye sahip bir hesaba ulaştığında, kuruluşun kurumsal ağı üzerinden operasyonel teknoloji sistemlerine ilerlemeyi deneyebilir. Araştırma, her kuruluşta böyle bir erişimin kesin olarak kullanıldığını göstermiyor; ancak kimlik bilgilerinin kritik altyapıya açılan bir kapı oluşturabileceğine işaret ediyor.

Tek bir tedarikçi 167 şirketi etkileyebilir

İncelemede adı açıklanmayan bir sayaç teknolojisi sağlayıcısının ağına bulaşan bilgi hırsızı, çok sayıda giriş bilgisini topladı. Zararlı yazılımın ele geçirdiği veriler arasında bu sağlayıcının hizmetlerinden yararlanan 167 ABD’li su hizmeti şirketine ait parolalar da yer aldı.

Bu örnek, kritik altyapıdaki tedarikçi bağlantılarının neden yakından izlenmesi gerektiğini ortaya koyuyor. Bir hizmet sağlayıcısının ağına sızılması, doğrudan bağlantılı olmayan çok sayıda kuruluşun hesap bilgilerinin aynı olayda açığa çıkmasına yol açabiliyor. SpyCloud’un soruşturmalardan sorumlu yöneticisi Jason Lancaster, tek bir ihlalin çok sayıda ayrı kuruluşa erişim sağlayabilecek bilgiler sunabildiğini belirtti.

Bilgi hırsızı yazılımlar, kullanıcıların tarayıcılarda veya cihazlarda kaydettiği parolaları toplamanın yanı sıra aktif oturumları koruyan belirteçleri de çalabiliyor. Bu belirteçler, saldırganın parolayı yeniden girmeden meşru kullanıcı gibi oturum açmasına yardımcı olabiliyor. Bazı durumlarda çok faktörlü kimlik doğrulama kontrolleri de bu yöntemle aşılabiliyor.

Su altyapısında iki ayrı risk bulunuyor

Çalınan kimlik bilgileri, siber suçluların belirli kuruluşlara erişim ararken kullandığı veya başka kişilere sattığı veriler arasında yer alıyor. Bu durum, su hizmeti sağlayıcılarının saldırıya uğraması için her zaman gelişmiş yapay zekâ araçlarına ihtiyaç olmadığını gösteriyor. Geçerli bir hesabın ele geçirilmesi, saldırganlara kurumsal ağ içinde ilerlemek için daha doğrudan bir yol sunabiliyor.

Araştırma, ABD’deki su kuruluşlarına yönelik son saldırı dalgasıyla da aynı döneme denk geliyor. ABD hükümeti, bu saldırıların bazılarını İran destekli hacker gruplarıyla özel kanallar üzerinden ilişkilendirdi. Bununla birlikte SpyCloud, İran bağlantılı olduğu değerlendirilen bu saldırılarda çalınan parolaların kullanıldığına dair kanıt bulamadı.

Bu olaylarda üreticiler tarafından varsayılan olarak belirlenen parolalar ve kritik altyapının mekanik anahtarlarıyla fiziksel denetleyicilerindeki güvenlik zayıflıkları öne çıktı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın önceki bulguları da benzer risklere işaret etmişti.

Dolayısıyla su sektöründeki tehdit tek bir saldırı yönteminden oluşmuyor. Fiziksel kontrol sistemlerindeki varsayılan parolalar ayrı bir açık yaratırken, çalışanların cihazlarından çalınan hesap bilgileri de ağlara giriş için kullanılabiliyor. Kuruluşların yalnızca operasyonel cihazları değil, çalışan cihazlarını, tedarikçilerini, oturum belirteçlerini ve uzaktan erişim hesaplarını da birlikte koruması gerekiyor.