Kyberzápisník #43: Kyberútok na vodárny v Minnesotě má na svědomí íránští hackeři

O víkendu 26. a 27. července 2026 zasáhl koordinovaný kyberútok na vodárny ve státě Minnesota, konkrétně více než 30 komunitních vodárenských systémů. V jednom městě útočníci na dálku vypnuli studnu. V dalších museli operátoři přejít na ruční ovládání, protože automatizace přestala fungovat. Podle amerických zpravodajských služeb za tím pravděpodobně stojí íránská skupina napojená na Revoluční gardy. A co je možná nejzajímavější: útočníci nepoužili žádný nový exploit. Zneužili díru starou pět let, na kterou dodnes neexistuje oprava.

Co se stalo při kyberútoku na vodárny v Minnesotě

Mezi nedělí 26. a pondělím 27. července zasáhl útok vodárenskou a odpadní infrastrukturu ve více než 30 minnesotských komunitách. Čtyři města útok veřejně potvrdila: Braham, Plymouth, South St. Paul a Maple Plain.

V Brahamu, obci s asi 1 700 obyvateli, útočníci vyřadili počítačové řízení a dočasně odstavili městskou studnu i úpravnu vody. Tamní starosta popsal situaci jednoduše: hackeři se dostali do řídicího systému studny a prostě ji vypnuli. Věž si žádala vodu, ale studna neběžela. Obsluha obnovila provoz zhruba za dvě hodiny.

V Plymouthu, městě s asi 80 tisíci obyvateli, IT oddělení preventivně odpojilo od sítě zařízení připojená přes mobilní data na dvou vodojemech a několika čerpacích stanicích odpadních vod, aby zabránilo dalšímu zneužití, zatímco se zařízení předělávalo. Provoz pak nějakou dobu běžel ručně. South St. Paul hlásil zásah do automatizovaného řízení, Maple Plain kvůli útoku vyhlásil místní stav nouze.

Pitná voda podle úřadů zůstala v pořádku, žádné město nemuselo vydat výzvu k omezení spotřeby vody. Minnesota IT Services (MNIT) aktivovala krizový plán a spolupracuje s Minnesota Department of Public Safety, FBI i dalšími federálními agenturami.

FBI později potvrdila, že podobné incidenty nahlásily vodárenské a odpadní společnosti nejméně v sedmi státech USA, Minnesota je zatím nejlépe zdokumentovaný případ.

Kdo stojí za kyberútokem na vodárny

Oficiální atribuce zatím chybí, ani stát, ani federální vláda útok formálně nepřipsaly konkrétnímu aktérovi. Podle amerických zpravodajských služeb je ale pravděpodobným viníkem Írán. Vyšetřovatelé zároveň připouštějí variantu, že útočník se mohl za íránského aktéra jen vydávat, aby přiživil napětí kolem probíhajícího ozbrojeného konfliktu mezi USA a Íránem.

Bezpečnostní firma Tenable označuje jako pravděpodobného pachatele skupinu CyberAv3ngers. Vzorec útoku (časování, způsob přístupu, typ zasažené technologie) odpovídá jejich dosavadní činnosti.

CyberAv3ngers je persona, za kterou stojí íránské Revoluční gardy, konkrétně jednotka IRGC Cyber-Electronic Command. Bezpečnostní komunita skupinu sleduje i pod dalšími jmény: Storm-0784 (Microsoft), Bauxite (Dragos), Hydro Kitten nebo UNC5691 (Mandiant). Americké ministerstvo financí v únoru 2024 uvalilo sankce na šest činitelů IRGC-CEC, ministerstvo zahraničí nabízí odměnu až 10 milionů dolarů za informace vedoucí k jejich identifikaci.

Jak se íránští hackeři dostali od defacementů k reálným výpadkům

Vývoj CyberAv3ngers je učebnicový příklad postupné eskalace schopností, dá se rozdělit do čtyř fází.

Fáze 1 (2020 až 2022). Skupina fungovala hlavně jako propagandistická persona. Tvrdila, že narušila izraelskou infrastrukturu, aniž by pro to existovaly technické důkazy. Část tvrzení se později ukázala jako vyfabrikovaná, včetně recyklovaných snímků ze starších úniků dat.

Fáze 2 (říjen 2023 až leden 2024). Skupina kompromitovala nejméně 75 zařízení Unitronics Vision Series napříč USA, Izraelem, Velkou Británií a Irskem, a to zneužitím výchozích hesel na zařízeních vystavených do internetu. Nejznámější obětí se stal Municipal Water Authority of Aliquippa v Pensylvánii, kde útočníci na displeji zanechali politický vzkaz namířený proti izraelským výrobcům zařízení.

Fáze 3 (2024 až 2025). Nasazení vlastního malwaru IOCONTROL. Jde o linuxový nástroj cílící na IoT a OT zařízení, routery, PLC, HMI, IP kamery i palivové systémy. Pro řízení a komunikaci využívá protokol MQTT přes TLS, tedy běžný IoT protokol, díky kterému provoz splyne s legitimním síťovým provozem. Malware analyzovala firma Claroty poté, co ho získala ze vzorku pocházejícího z kompromitovaného palivového systému. Jedna z kampaní zasáhla několik set izraelských zařízení Orpak a amerických Gasboy.

Fáze 4 (březen 2026 až dosud). Aktivní zneužívání CVE-2021-22681, kritické chyby v kontrolerech Rockwell Automation Logix. Právě tahle fáze vyvrcholila útokem na Minnesotu.

Zranitelnost bez opravy, kterou útočníci zneužili

CVE-2021-22681 má CVSS skóre 9,8, tedy prakticky nejvyšší možnou závažnost. Jde o obejití autentizace způsobené nedostatečně chráněným kryptografickým klíčem, který slouží k ověřování komunikace mezi inženýrským softwarem Studio 5000 Logix Designer a samotnými Logix kontrolery. Kdo tenhle klíč získá nebo odposlechne, může se vydávat za legitimní inženýrský nástroj a získat přímý neautentizovaný přístup k řízení výrobního nebo provozního procesu.

Chyba byla veřejně popsána už v únoru 2021. Aktivní zneužívání v praxi ale Rockwell Automation potvrdil až v březnu 2026, pět let po zveřejnění. Ten odstup dobře ukazuje, jak dlouho dokážou zranitelnosti v provozních technologiích přežívat, protože odstávka kvůli záplatování často naráží na požadavek na nepřetržitý provoz.

Nejdůležitější detail pro každého, kdo podobná zařízení spravuje: oprava neexistuje a ani existovat nebude. Rockwell Automation otevřeně uvádí, že se chyba nedá vyřešit softwarovou záplatou. Jediná obrana je architektonická, tedy segmentace sítě, izolace inženýrských stanic, zapnutí CIP Security a přepnutí fyzického přepínače na kontroleru do režimu Run, který zamezí vzdálené změně logiky.

Co přinesla aktualizovaná CISA výstraha

Čtyři dny před útokem na Minnesotu, konkrétně 22. července 2026, aktualizoval americký CISA společně s FBI svou výstrahu AA26-097A, poprvé vydanou 7. dubna 2026. Update přinesl tři podstatné změny.

Okruh cílených výrobců se rozšířil z Rockwell Automation i na Schneider Electric a Siemens. U Schneideru jde konkrétně o řadu BMX P34 a Modicon M340, u Siemensu o S7-1200.

Poprvé se objevila zdokumentovaná technika exfiltrace projektových souborů z PLC. Útočníci k tomu používají legitimní inženýrský software daných výrobců, provozovaný na pronajaté zahraniční infrastruktuře, a stahují si přes něj projektové soubory z prostředí oběti.

A nejzávažnější zjištění se týká manipulace takzvaných AOI, tedy Add-On Instructions, znovupoužitelných kódových modulů uvnitř programu PLC. FBI u jedné oběti zjistila, že škodlivý projektový soubor navenek zachoval běžnou ladder logiku, uvnitř ale obsahoval upravené AOI, které vyřadily bezpečnostní odstavení a alarmové funkce. Útočníci k tomu ještě zfalšovali data na HMI a SCADA displejích, takže operátor neviděl, že zařízení běží v nebezpečném stavu.

Proč jsou terčem kyberútoků právě malé vodárny

Vzorec, kdy jsou opakovaně napadány právě malé vodárenské a obecní provozy, není náhoda. Mnoho z nich spravuje OT prostředí přes běžný vzdálený přístup typu TeamViewer nebo AnyDesk, případně má rozhraní pro správu PLC vystavené přímo do veřejného internetu. Takový přístup obchází podnikové bezpečnostní kontroly úplně a vytváří útočnou plochu, kterou běžný monitoring vůbec nevidí.

Analýza Censys z dubna 2026 napočítala celosvětově přes 5 200 internetově vystavených hostů, kteří odpovídají na průmyslové protokoly a hlásí se jako zařízení Rockwell Automation. Skoro 75 procent z nich se nachází v USA. Velká část běží na mobilních sítích, tedy přesně na tom typu připojení, které bylo zneužito v Plymouthu.

K tomu se přidává chronický podfinancovaný stav sektoru. Americká EPA už v roce 2024 upozornila, že přes 70 procent vodárenských systémů v USA neplní zákonnou povinnost mít zpracované nebo aktualizované posouzení rizik a plán reakce na incidenty. Audit tisícovky systémů zásobujících 193 milionů lidí odhalil 97 systémů s kritickými nebo vysoce rizikovými zranitelnostmi.

Kyberútok na vodárny jako součást ozbrojeného konfliktu

Kontext, který v běžném zpravodajství chybí, je fakt, že USA a Írán jsou od konce února 2026 v otevřeném ozbrojeném konfliktu. Kybernetické operace na obou stranách eskalují souběžně s vojenskými akcemi. V červnu 2026 americký úder poblíž Hormuzského průlivu zničil íránské vodní zařízení a odřízl od vody přes 20 tisíc lidí. Den poté skupina Handala, napojená na íránské ministerstvo zpravodajství, tvrdila, že jako odvetu prolomila vodárenské systémy v několika kalifornských městech.

Techniky CyberAv3ngers se navíc rozšířily k více než 60 přidruženým hacktivistickým skupinám, koordinovaným přes takzvaný Electronic Operations Room zřízený na začátku konfliktu. To znamená, že hrozba přetrvá, i kdyby se podařilo omezit samotné jádro CyberAv3ngers. A protože ne všechny tyhle skupiny mají stejnou úroveň disciplíny jako původní tým, roste riziko nechtěných fyzických následků způsobených neopatrnou manipulací s PLC.

Co si z kyberútoku na vodárny odnést

Tenhle útok nestojí na žádné technické novince. Stojí na kombinaci pěti let staré neopravitelné chyby, laxní síťové segmentace a zařízení, která nikdy neměla viset přímo na internetu. Přesně tahle kombinace dělá z malých provozních systémů dlouhodobě nejsnazší cíl, bez ohledu na to, jestli útočí státní aktér nebo jeho přidružená skupina.

Pro provozovatele podobných zařízení platí několik jasných kroků: odpojit PLC od přímého přístupu z internetu, přepnout fyzický přepínač do režimu Run, nasadit segmentaci mezi IT a OT sítí, prověřit veškerá připojení přes mobilní data a zálohovat logiku PLC offline. Žádný z těch kroků nevyžaduje čekat na záplatu, která stejně nikdy nepřijde.