CISA, el FBI y la Agencia de Protección Ambiental (EPA) compartieron una lista de medidas de defensa que las empresas de agua de EE. UU. deberían implementar para defender mejor sus sistemas contra ataques cibernéticos.
La hoja informativa que publicaron hoy describe las ocho acciones principales que las organizaciones del sector de sistemas de agua y aguas residuales (WWS) de EE. UU. pueden tomar para reducir los riesgos de ataques cibernéticos y aumentar su resiliencia contra actividades maliciosas. También detalla los servicios, recursos y herramientas gratuitos que se pueden utilizar en apoyo de estas medidas de defensa.
“CISA, EPA y FBI instan a todas las organizaciones del sector WWS y de infraestructura crítica a revisar la hoja informativa e implementar acciones para mejorar la resiliencia a la actividad de amenazas cibernéticas”, dijeron las agencias.
“Las entidades que requieran apoyo adicional para implementar cualquiera de las acciones descritas en la hoja informativa deben comunicarse con la EPA y/o su asesor regional de ciberseguridad CISA para obtener ayuda”.
Se recomienda a las empresas de agua que reduzcan la exposición de activos clave (incluidos dispositivos OT, como controladores y unidades terminales remotas) a la Internet pública y realicen evaluaciones periódicas de ciberseguridad para comprender las vulnerabilidades existentes dentro de los sistemas OT y TI.
También deben cambiar inmediatamente todas las contraseñas predeterminadas o inseguras e implementar la autenticación multifactor (MFA) siempre que sea posible, crear inventarios de activos de OT/TI para comprender su superficie de ataque y realizar copias de seguridad periódicas de los sistemas de OT/TI para facilitar la recuperación después de una infracción.
También se recomienda que las instalaciones de WWS parchen o mitiguen las vulnerabilidades conocidas para bloquear los intentos de explotación, desarrollen y pongan en práctica planes de recuperación y respuesta a incidentes de ciberseguridad para tiempos de reacción más rápidos en caso de un compromiso, y lleven a cabo capacitaciones anuales de concientización sobre ciberseguridad para ayudar a los empleados a comprender cómo prevenir y responder. a los ciberataques.
Infraestructura Hídrica Crítica en todo el Mundo bajo Ataque
Las instalaciones de agua han sido blanco de ataques cibernéticos en repetidas ocasiones en los últimos años, comprometiendo la seguridad de infraestructuras críticas y generando preocupaciones sobre la seguridad pública.
Desde principios de año, varias empresas de tratamiento de agua han sufrido ataques de ransomware que las obligaron a cerrar sistemas para contener las infracciones, incluidas Veolia North America y Southern Water del Reino Unido.
En respuesta, CISA, el FBI y la EPA han publicado una guía de respuesta a incidentes para ayudar a los defensores a asegurar los servicios de agua.
En septiembre, la agencia de ciberseguridad de EE. UU. también lanzó un programa de escaneo de seguridad gratuito para ayudar a las instalaciones de infraestructura crítica, como las empresas de servicios de agua, a detectar brechas de seguridad y proteger los sistemas contra ataques cibernéticos.
En noviembre, CISA advirtió que piratas informáticos se infiltraron en una instalación de agua de Pensilvania explotando controladores lógicos programables (PLC) de Unitronics vulnerables, aunque la seguridad del agua potable para las comunidades locales seguía sin verse comprometida.
En los últimos años, las instalaciones del sector de sistemas de agua y aguas residuales (WWS) de EE. UU. se han visto afectadas por múltiples infracciones que llevaron a la implementación de ransomware Ghost, ZuCaNo y Makop.
Estos ataques de ransomware afectaron a un plan de tratamiento de aguas residuales del sur de Houston en 2011, a una empresa de agua con equipos de software y hardware obsoletos en 2016, al Distrito de Agua Camrosa del Sur de California en agosto de 2020 y a un sistema de agua de Pensilvania en mayo de 2021.