Wiederholte Cyberangriffe auf US-amerikanische Wasserversorgungsanlagen verdeutlichen deren prekäre Sicherheitslage. Beim letzten Angriff hatte der Angreifer einfach den Benutzernamen und das Passwort eines ehemaligen Mitarbeiters benutzt, um die Wasseraufbereitung zu manipulieren.
Anfang des Jahres versuchte ein Hacker, eine Wasseraufbereitungsanlage zu vergiften, die Teile der San Francisco Bay Area versorgt. Hierzu hatte der Angreifer den Benutzernamen und das Passwort für das TeamViewer-Konto eines ehemaligen Mitarbeiters verwendet. Dies geht aus einem Bericht hervor, der im Februar vom Northern California Regional Intelligence Center erstellt und von NBC News eingesehen wurde. Nachdem er sich eingeloggt hatte, löschte der Hacker Programme, die das Wasserwerk zur Trinkwasseraufbereitung verwendete. Der Hack wurde erst am nächsten Tag entdeckt, und die Anlage änderte ihre Passwörter und installierte die Programme neu. „Es wurden keine Ausfälle als Folge dieses Vorfalls gemeldet, und keine Personen in der Stadt meldeten Krankheiten durch wasserbezogene Ausfälle“, heißt es in dem Bericht.
In Oldsmar, Florida wurde das Trinkwasser vergiftet
Der Vorfall gehört zu einer wachsenden Zahl von Cyberangriffen auf die US-Wasserinfrastruktur, die der Öffentlichkeit bekannt wurden. Dem Angriff in der Bay Area folgte ein ähnlicher Angriff in Oldsmar, Florida, einige Wochen später. In dem Fall verschaffte sich ein Hacker ebenfalls Zugang zu einem TeamViewer-Konto und erhöhte den Laugengehalt des Trinkwassers auf giftige Werte. Ein Mitarbeiter bemerkte rechtzeitig, dass sich die Maus des Computers von selbst bewegte, und machte die Änderungen des Hackers rückgängig. In Pennsylvania hat ein staatliches Wasserwarnsystem seine Mitglieder vor zwei kürzlichen Hacks in Wasserwerken des Staates gewarnt. In einem anderen, bisher nicht gemeldeten Hack wurde der Camrosa Water District in Südkalifornien im letzten Sommer mit Ransomware infiziert.
„Passwörter sind die größte Schwachstelle in heutigen Systemen“, erklärt Patrick McBride, Chief Marketing Officer von Beyond Identity, die Gefahr.
Patrick McBride, Chief Marketing Officer, Beyond Identity, kommentiert die zunehmende Gefahr: „Es ist nicht das erste Mal, dass wie in der Oldsmar Wasseraufbereitungsanlage ein TeamViewer-Passwort verwendet wurde, um sich Zugang zu einer kritischen Wasserinfrastruktur zu verschaffen. Die Ratschläge der Industrie zu diesem Problem sind meistens ungeeignet. Unternehmen müssen erkennen, dass es so etwas wie ein ‚starkes Passwort‘ nicht gibt. Angreifer stehlen Passwörter und verwenden sie wieder. Es erfordert nicht mehr Aufwand, ein 50 Zeichen langes ‚stärkeres‘ Passwort mit Sonderzeichen, als ein fünf Zeichen langes Passwort zu stehlen. Veraltete MFA, die sich auf Passwörter und andere schwache Faktoren wie Einmalpasswörter oder magische Links verlässt, ist auch nicht die Lösung. Zwei schwache Faktoren ergeben keine starke Authentifizierung. Passwörter sind die größte Schwachstelle in heutigen Systemen. Die Antwort kann folglich nur die vollständige Abschaffung von Passwörtern sein.“
