وأشار مجلس الأمن القومي مؤخرًا إلى أن مقدمي البنية التحتية الحيوية في الولايات المتحدة يتسمون بالإهمال في الدفاع ضد التطفلات السيبرانية، مشيرًا إلى أن الهجوم الأخير المرتبط بإيران على شركة مياه أمريكية في وقت سابق من هذا الشهر استغل نقاط الضعف الأمنية الأساسية الضعيفة لكلمات المرور. وقالت اللجنة الأمنية إنها على علم أيضًا بالتطفلات الأخيرة على كيانات البنية التحتية الأمريكية، بما في ذلك مرافق المياه والطاقة في ولايات متعددة، من قبل قراصنة مرتبطين بجيش الدول المعادية.
وبحسب ما ورد لم تؤثر أي من الهجمات المرتبطة بإيران أو الصين على الأنظمة الحيوية أو تسببت في حدوث اضطرابات.
قالت آن نيوبيرج، نائبة مستشار الأمن القومي للتكنولوجيات السيبرانية والناشئة، لشركة Fast Company: "إننا نشهد أن الشركات والخدمات الحيوية تواجه عددًا متزايدًا من التهديدات السيبرانية من المجرمين الخبيثين والدول القومية. قبل هذه الاختراقات الأخيرة، كان البيت الأبيض يحث مقدمي البنية التحتية على ترقية نظام الدفاعات السيبرانية الخاص بهم، ولكن "من الواضح، استنادًا إلى النجاحات الأخيرة في الهجمات السيبرانية الإجرامية، أنه يجب القيام بالمزيد". على الصعيد الوطني، تعرض ما لا يقل عن 11 كيانًا مختلفًا يستخدم معدات Unitronics للخطر، بما في ذلك ست مرافق مياه محلية، وصيدلية واحدة على الأقل، ومركز مائي ومصنع نبيذ، من بين أمور أخرى.
وقالت السلطات الفيدرالية إن بعض الأجهزة المخترقة كانت متصلة بالإنترنت المفتوح ثم تم تعيين كلمة المرور الافتراضية الخاصة بها على "1111"، مما يسهل على المتسللين العثور عليها والوصول إليها. وقال نيوبيرج إن إصلاح هذه المشكلات "لا يكلف فلسًا واحدًا" و"هذه أشياء أساسية نريد حقًا من الشركات القيام بها بشكل عاجل".
لكن خبراء الأمن السيبراني يقولون إن الهجمات تشير إلى مشكلة أكبر: نقاط الضعف واسعة النطاق في التكنولوجيا التي تدعم البنية التحتية المادية. وقال غاري بيركنز، كبير مسؤولي أمن المعلومات في شركة الأمن السيبراني CISO Global، إن الكثير من الأجهزة تم تطويرها قبل ظهور الإنترنت، وأنه على الرغم من تحديثها وتحديثها بقدرات رقمية، إلا أنها لا تزال "لا تحتوي على ضوابط أمنية كافية".
بالإضافة إلى ذلك، فإن العديد من البنى التحتية تعطي الأولوية "لسهولة الاستخدام التشغيلية على الأمن" لأن العديد من البائعين غالبًا ما يحتاجون إلى الوصول إلى نفس المعدات، كما قال آندي تومسون، خبير الأمن السيبراني في CyberArk. ولكنه يسهل أيضًا على المهاجمين استغلال هذه الأنظمة: أدوات الشبكات المتاحة مجانًا تسمح لأي شخص بإنشاء قائمة من الأجهزة المتصلة بالإنترنت العام، مثل أجهزة Unitronics التي تستخدمها شركات المياه. وقال طومسون: "يجب أن يصبح عدم الوصول بسهولة إلى البنية التحتية الحيوية عبر الإنترنت ممارسة معتادة".