La planta de abastecimiento de agua en Kansas cambia a comunicaciones analógicas después de un incidente cibernético

La mañana del 22 de septiembre se produjo un “incidente de ciberseguridad” en la planta de tratamiento de agua de un pequeño pueblo de Kansas.

Arkansas City, con una población de 12.000 habitantes, a dos horas en auto al norte de Oklahoma City, se encuentra en la confluencia de los ríos Walnut y Arkansas, el último de los cuales suministra agua potable a la ciudad. Un comunicado de la autoridad ambiental de la ciudad anunció que hubo un incidente en la planta de tratamiento de aguas residuales el 22 de septiembre. «Incidente de ciberseguridad». Se contactó a las autoridades y se tomaron medidas de precaución. Lo más importante es que se han suspendido las operaciones manuales en las instalaciones, una decisión temporal tomada «por extrema precaución», dijo el administrador municipal Randy Frazer en el comunicado.

«A pesar del incidente, el suministro de agua sigue siendo completamente seguro y no ha habido interrupciones», escribió Frazer. «Los residentes pueden estar seguros de que su agua potable es segura y que la ciudad está funcionando bajo total control durante este tiempo».

La administración agregó: “Los expertos en ciberseguridad y las agencias gubernamentales están trabajando para resolver la situación y reanudar las operaciones normales en la instalación. Actualmente existen medidas de seguridad mejoradas para proteger el suministro de agua y no se esperan cambios en la calidad del agua ni en el servicio a los residentes”.

Dark Reading se comunicó con Arkansas City para obtener más información sobre el incidente. En lugar de proporcionar detalles, Shawn Waldman, director ejecutivo y fundador de Secure Cyber, sugiere que pasar a procesos manuales podría ser una señal de cierto nivel de seriedad.

“De hecho, en un robo que investigamos el pasado noviembre, nunca cambiamos al modo manual”, recuerda. “Pudimos aislar las interfaces hombre-máquina (HMI) y contener el malware ruso, y mantuvimos el sistema funcionando con normalidad. Si se cambia un sistema al modo manual, la tensión para los empleados es muy alta. Ese es el escenario final: no querrás entrar en modo manual a menos que sea absolutamente necesario”.

El problema de los sistemas más modernos

Los sistemas de control industrial llevan mucho tiempo luchando por adaptar equipos viejos y obsoletos a las demandas de la ciberseguridad moderna.

El problema opuesto se discute menos: los sistemas más nuevos están diseñados para una mayor conectividad y, por lo tanto, ofrecen superficies de ataque que los dinosaurios -a menudo máquinas analógicas- no tenían.

La nueva planta de tratamiento de agua de 5,4 millones de galones por día en Arkansas City se inauguró en febrero de 2018. La construcción costó 22 millones de dólares y el deporte «tecnología avanzada«Se estima que la ciudad ahorrará hasta un 20% en costos operativos y de mantenimiento. Se desconoce la naturaleza exacta de su postura de ciberseguridad.

«El hecho de que una ciudad diga: ‘Acabamos de modernizarlo todo, es todo nuevo y deberíamos estar en un buen lugar’, es genial, pero ¿qué pasa con la ciberseguridad?», pregunta Waldman. “Algunas ciudades no están invirtiendo adecuadamente para proteger su infraestructura crítica.

“Mi ciudad hizo exactamente eso: sé con certeza que no mejoraron la ciberseguridad, pero gastaron alrededor de 14 millones de dólares o más para modernizar toda la infraestructura”.

Para garantizar que las ciudades no descuiden la seguridad en sus presupuestos, Waldman dice: “La EPA y el Congreso deben dar un paso al frente y adoptar el nuevo estándar de ciberseguridad de la EPA. Lo has probado antes y luego fueron demandados. ¿Y a qué hemos renunciado? Semanas después Irán lanzó una serie de ataques. a los sistemas de agua en los Estados Unidos. Porque, gran sorpresa, Irán lee las noticias de Estados Unidos”.