Het Amerikaanse cyberagentschap CISA roept waterbedrijven op om hun programmable logic controllers (PLC's) zo snel mogelijk van internet te halen. Aanleiding zijn aanvallen waarbij aanvallers toegang tot de PLC's weten te krijgen. Waterbedrijven gebruiken plc's om verschillende fases van de water- en rioolzuivering te beheren en monitoren, waaronder het in- en uitschakelen van pompen van een pompstation, het vullen van tanks en reservoirs, het toevoegen van chemicaliën, verzamelen van gegevens voor toezichtsrapporten en het waarschuwen voor kritieke situaties.

Bij de aanvallen wisten aanvallers toegang te krijgen tot PLC's die vanaf het internet toegankelijk waren. Deze PLC's waren niet met een wachtwoord of met een standaard wachtwoord beveiligd. Bij de aanvaller schakelen de aanvallers de wachtwoordfunctie in, als die niet was ingeschakeld, en stellen vervolgens een wachtwoord in of wijzigen het gebruikte standaard wachtwoord, zodat beheerders geen toegang meer hebben (pdf). Vervolgens besloten de aanvallers de PLC's van internet los te koppelen door hun IP-adressen te veranderen, aldus het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security en de FBI.

Ondanks eerdere waarschuwingen blijken PLC's via standaard wachtwoorden toegankelijk. De Amerikaanse overheidsdiensten roepen waterbedrijven op om hun PLC's van het publieke internet te halen. Remote toegang voor beheer moet via een vpn of gateway lopen, niet direct via de PLC zelf, aldus het advies. Daarnaast wordt aangeraden om het gebruik van een wachtwoord in te schakelen en standaard wachtwoorden te wijzigen in sterke unieke wachtwoorden. Verder wordt het gebruik van allowlists aangeraden, zodat alleen toegestane IP-adressen verbinding mogen maken. Onlangs meldde de Amerikaanse staat Minnesota dat meer dan dertig waterbedrijven het doelwit van een gecoördineerde aanval waren geworden.