Det er avdekket to alvorlige tilfeller av vellykkede hackerangrep mot kritisk infrastruktur i USA hittil i år.

Angrepene er utført av «sofistikerte trusselaktører» som skaffet uautorisert adgang til styringsmekanismene ved to anlegg.

Det fremgår av en fersk rapport (pdf) fra USAs kontrollorgan for kybersikkerhet i industrielle systemer, ICS-CERT (Industrial Control Systems Cyber Emergency Response Team).

Ifølge Departementet for innenrikssikkerhet er det ikke funnet bevis for at produksjonen ved anleggene har vært berørt, skriver Reuters.

Myndighetene røper ikke hvilke anlegg som ble kompromittert, men omtaler begge i sekkebetegnelsen «public utility». Det kan bety alt fra kraftproduksjon, vannforsyning, kloakk, telekom eller annen kritisk infrastruktur.

Det er på det rene at sikkerheten var på et lavmål.

Kontrollsystemene lå blottlagt mot det åpne internettet, og var verken beskyttet av brannmur eller andre sikringstiltak enn et simpelt passord.

Dermed var det enkelt for hackerne å gjette seg fram til riktig passord etter rå makt-metoden, et såkalt brute force-angrep.

En etterforskning avdekket at ihvertfall det ene systemet har vært kompromittert også lengre tilbake i tid, og at anlegget antakelig har vært eksponert for et utall forskjellige sårbarheter, ifølge rapporten.

Ett av anleggene ble hacket via en mobil bredbåndsforbindelse. I dette anlegget tok angriperne over et SCADA-system, men tilfeldighetene skulle ha det til at det kompromitterte kontrollsystemet for tiden var fysisk adskilt fra produksjonsenheten i forbindelse med vedlikehold.