Scenariusze? Manipulacja nastawami zbiorników i pomp w dwóch systemach wodociągowych w Teksasie – przepełnione zbiorniki, setki tysięcy galonów wody pitnej wylanej w błoto. Podniesienie temperatury i wyłączenie alarmów w firmie naftowo‑gazowej w Kolorado, tak żeby szansa „prawdziwej awarii” rosła z każdą minutą. Wyłączenie chłodni w zakładzie mięsnym w Kalifornii, ponad 2 000 funtów mięsa do utylizacji, wyciek amoniaku i ewakuacja zakładu. To już nie jest klasyczny ransomware z notką „zapłać w BTC”, tylko czysty sabotaż operacji.
Piszę to z perspektywy alarmisty biznesowego: tu nie chodzi o „incydent IT”, tylko o realne minuty przestoju, utracone tony produktu, pozwy i regulatorów na plecach. Amerykanie dostali trailer tego, co kraj w NATO może dostać w pełnej wersji, jeśli ktoś uzna, że pora „docisnąć” infrastrukturę cywilną przeciwnika.
Jak wyglądał atak – bez marketingu
Z aktu oskarżenia i analizy firm threat‑intel wynika, że CARR uderzał w klasyczny słaby punkt: wystawione do Internetu panele HMI, PLC i serwery inżynierskie, często z domyślnymi hasłami albo prostym VPN‑em bez MFA. W wodociągach w Teksasie przestępcy po prostu przejęli system zdalnego sterowania zbiornikami, odpalili jednocześnie 22 ujęcia wody i grzebali przy nastawach pomp, aż zbiorniki zaczęły się przelewać. Zero magii, stuprocentowy brak higieny.
W drugim systemie wodociągowym zmiany nastaw pomp i zatrzymanie systemu przełożyły się na wylanie ok. 200 000 galonów wody. W przypadku zakładu mięsnego schemat był podobny: wejście w sieć OT, wyłączenie systemów chłodniczych i doprowadzenie do przekroczenia temperatury składowania, co uruchomiło reakcję instalacji amoniakalnej i skończyło się wyciekiem. W firmie naftowo‑gazowej atakujący podnieśli temperaturę procesu i wyłączyli alarmy, licząc na „prawdziwy” wypadek. Na poziomie MITRE ATT&CK for ICS mamy tu dość podręcznikowy zestaw: Initial Access przez zdalne usługi (T0886), Execution na PLC/HMI (T0843), Inhibit Response Function przez wyłączenie alarmów (T0814) i Manipulation of Control (T0831).
Motywacja też jest już jawna. Prokuratura i media łączą CARR z rosyjską kampanią pro‑wojenną, gdzie celem jest sianie chaosu i kontentu propagandowego, a nie szybki okup. Dubranowa montowała materiały wideo chwalące się sabotażem infrastruktury i wrzucała je na prorosyjskie kanały w ciągu godzin od ataku. To bardziej informacyjno‑psychologiczna operacja niż „klasyczne” cybercrime.
Co z tego wynika dla Polski
Po pierwsze, trzeba sobie przestać wmawiać, że „nasza oczyszczalnia w powiatowym miasteczku nikogo nie obchodzi”. W USA celem były małe i średnie systemy wodne – często z jednym adminem „od wszystkiego”, bez SOC‑a i z kontrolerami pamiętającymi czasy Windows XP. Polska ma dokładnie taki sam ogon infrastruktury: gminne wodociągi, ciepłownie, spalarnie, małe zakłady mięsne, przetwórnie, które sprzęt kupowały z katalogu, a nie z analizą threat‑modelu.
Po drugie, jesteśmy w dużo wygodniejszym „target bucket” niż USA. Jesteśmy w NATO, jesteśmy logistycznym hubem dla Ukrainy, a w mediach rosyjskich co chwilę przebija się narracja o „wrogiej Polsce”. Atak na lokalną przepompownię albo zakład mięsny w Polsce daje agresorowi ten sam efekt propagandowy, co w USA, ale może mieć mniejszą odpowiedź polityczną, bo część opinii publicznej potraktuje to jako „awarię techniczną”. To dokładnie ten sam wzorzec, który amerykańskie służby opisują przy atakach Iranu na wodociągi w Pensylwanii i innych stanach – małe cele, szum medialny, relatywnie niskie ryzyko eskalacji.
Po trzecie, polskie regulacje dopiero uczą się myśleć o OT. NIS2 i sektorowe akty wykonawcze wprowadzą bardziej konkretne wymagania dla operatorów usług kluczowych, ale gros małych wodociągów, ubojni czy mleczarni na razie żyje w przekonaniu, że jak mają „pudełkowy firewall i antywirusa”, to temat jest załatwiony. W realnym ataku na SCADA nie chodzi o to, kto ma lepszy raport z SIEM‑a, tylko o to, kto ma fizyczną separację, procedury ręcznego przejęcia sterowania i ludzi, którzy wiedzą, jak odłączyć złośliwe HMI bez zatrzymania procesu.
Ile to naprawdę kosztuje: case study w liczbach
Prokuratura USA szacuje, że sam atak na zakład mięsny w Kalifornii przyniósł bezpośrednie straty rzędu co najmniej 5 000 USD, do tego zniszczone ponad 2 000 funtów gotowego produktu i kilkugodzinna ewakuacja zakładu. Dla dużej amerykańskiej firmy to drobne, ale dodaj do tego koszty utylizacji skażonego mięsa, dezynfekcji, audytu BHP i potencjalnych pozwów pracowniczych – kwota rośnie logarytmicznie.
Wodociągi? Kilkaset tysięcy galonów wody pitnej poszło w kanał. Do tego dochodzą koszty ponownego napełnienia zbiorników, przeglądu sprzętu, raportów dla regulatora i lokalnej społeczności. Gdyby jedna z manipulacji chemikaliami w instalacji skończyła się przekroczeniem norm, mielibyśmy koszt badań, flushowania sieci, butelkowanej wody dla mieszkańców i PR‑owy armagedon – w raportach o atakach na wodociągi w USA i Europie szacunki lecą w miliony dolarów przy poważniejszej kontaminacji.
Polska skala? Wyobraź sobie średniej wielkości ubojnię drobiu: dobowy przerób kilku tysięcy sztuk, marże liczone w groszach, łańcuch dostaw spięty co do dnia. Jeden kontrolowany cyber‑sabotaz, który zatrzymuje chłodnie i generuje wyciek amoniaku, to nie tylko produkt do kosza, ale też sanepid, PIP, ubezpieczyciel i kontrakty z sieciami handlowymi, którym właśnie zawaliłeś dostawę. Nawet jeśli bezpośredni koszt to „tylko” kilkaset tysięcy złotych, ryzyko utraty kontraktu jest już kwestią zarządu, a nie admina.
Co realnie zrobić w polskiej firmie
Po pierwsze: odetnij OT od Internetu tak, jakbyś bał się, że ktoś fizycznie wchodzi Ci do sterowni z łomem. Jeżeli HMI/SCADA w wodociągach albo na linii produkcyjnej w mięsnym jest dostępne przez publiczny adres IP, to nie rozmawiamy o „podniesieniu poziomu bezpieczeństwa”, tylko o gaszeniu pożaru. Minimalny standard to wydzielony segment sieci OT, brak bezpośredniego routingu do Internetu, dostęp administracyjny wyłącznie przez bastion VPN z MFA i rejestrowaniem sesji.
Po drugie: wywal z PLC i paneli HMI domyślne hasła, konta serwisowe producenta i nieudokumentowane „backdoory serwisowe”. W atakach na wodociągi w USA i innych krajach regularnie przewijały się hasła typu „1111”, „admin/admin” i interfejsy, które producent zostawił „na wszelki wypadek”. Jak nie masz zasobów, żeby zorganizować pełny program hardeningu OT, zrób choćby prosty przegląd z check‑listą: jakie panele są zdalnie dostępne, jakie hasła mają i kto w ogóle wie, gdzie są mapy sieci.
Po trzecie: wprowadź monitoring, który rozumie protokoły OT. Zwykły IDS w sieci biurowej nie zobaczy, że ktoś zdalnie przestawia nastawy pomp albo wyłącza alarmy na PLC. Tu wchodzą w grę systemy typu Nozomi, Claroty albo open‑source’owe narzędzia do analizy Modbus/DNP3, spięte z SOC‑iem, który ma playbook „sabotaż OT”, a nie tylko „ransomware w HR”.
Po czwarte:dogadaj IT z utrzymaniem ruchu i bezpieczeństwem procesowym. W USA często jedynym powodem, dla którego atak na wodociąg nie skończył się zatruciem, był operator, który po prostu zauważył dziwne wskazania i ręcznie przejął sterowanie. W polskich realiach trzeba zrobić to samo: szkolenia dla dyspozytorów i automatyków o symptomach ataku, ćwiczenia typu „co robimy, jeśli wszystkie alarmy nagle milkną” i prosta zasada, że przy nietypowych parametrach procesu najpierw dzwonimy do OT‑sec, a dopiero potem szukamy „usterki czujnika”.
Po piąte:ogarnij stronę regulacyjną i ubezpieczeniową. Jeśli jesteś operatorem wodociągów, zakładu mięsnego, ciepłowni albo rafinerii, to zeskanuj wymagania NIS2, krajowe przepisy sektorowe i warunki polisy cyber. Część polis wyklucza zdarzenia o charakterze „wojennym” albo „sponsorowanym przez państwo”, a ataki CARR, IRGC czy chińskich grup na wodociągi dokładnie w tę szufladkę wpadają. Jeżeli Twoja rada nadzorcza zakłada, że „ubezpieczenie załatwi resztę”, to dobrze, żeby wiedzieli, że niekoniecznie.
Amerykanie właśnie zobaczyli, jak wygląda kontrolowana dawka sabotażu infrastruktury krytycznej – na razie skończyło się na wylanej wodzie i popsutym mięsie, ale schemat działania jest już sprawdzony. Polska jest w tej samej klasie ryzyka, a przy okazji bliżej frontu, z mniejszym budżetem na OT‑sec i większą wiarą w „wiejski zdrowy rozsądek” administratora.
