ملخص تنفيذي: تعرض أكثر من 30 شبكة مياه في ولاية مينيسوتا لهجوم إلكتروني منسق في 26 و27 يوليو. وبعد أيام، أكدت ولاية ميشيغان وقوع اختراقات مماثلة في تسع شبكات مياه تابعة لها. ويُبرز هذا النمط كيف أصبح عيب تصميمي واحد في الأمن السيبراني للتكنولوجيا التشغيلية (OT) نقطة ضعف وطنية عرضة للهجمات.
في 30 يوليو 2026، أصدر مكتب التحقيقات الفيدرالي (FBI) ووكالة حماية البيئة (EPA) إعلانًا مشتركًا للخدمة العامة (PSA)؛ التنبيه I-073026-PSA) يتضمن مزيدًا من التفاصيل حول الهجوم الذي وقع في مينيسوتا. ووفقًا للتنبيه، تمكن المهاجمون من الوصول عن بُعد إلى وحدات التحكم المنطقية القابلة للبرمجة (PLC) المتصلة بالإنترنت وقاموا بتغيير عناوين IP وكلمات المرور الخاصة بها، مما أدى إلى قطع وظائف المراقبة والتحكم لدى المشغلين. كما اكتشفت مؤسسة واحدة على الأقل ملفات مشاريع PLC معدلة بعد ملاحظة تباينات في منطق السلم البرمجي عبر عدة مواقع، وأشار مكتب التحقيقات الفيدرالي (FBI) إلى أن أوجه التشابه في إعدادات الشبكات المقدمة من أطراف ثالثة ربما تكون قد سمحت للمهاجمين بتكرار نفس التقنية عبر عدة العملاء.
في 1 أغسطس، تم الإعلان عن هجوم آخر. وهذه المرة، أكدت وزارة البيئة والبحيرات الكبرى والطاقة في ميشيغان هجمات إلكترونية على تسعة من شبكات المياه التابعة لها، وذلك بعد أيام من إعلان ولاية مينيسوتا عن اختراقات مماثلة في أنحاء الولاية.
وأشار المسؤولون الفيدراليون إلى إيران باعتبارها المشتبه به الرئيسي؛ غير أن هذه التهمة لا تزال أولية، ولا يزال مكتب التحقيقات الفيدرالي (FBI) يحقق في الحادثتين اللتين وقعتا في كلتا الولايتين.
في جميع المجتمعات المتضررة، قام موظفو الأشغال العامة إلى التشغيل اليدوي، مما سمح باستمرار خدمات المياه والصرف الصحي الخدمات دون انقطاع رغم تعطل نظام التحكم الآلي. وهذا يعد إنجازًا تشغيليًا، ويستحق مشغلو مينيسوتا الثناء عليه. وقد نجح الحل البديل اليدوي هذه المرة، لكنه قد لا ينجح في المرة القادمة.
لا يمكن للبنية التحتية الحيوية أن تعتمد دائمًا على يقظة مشغلي المنشآت لتعويض الافتقار إلى بنية آمنة.
نمط يمكن تجنبه، يتكرر منذ سنوات
ورغم أنه قد يكون من المريح إلى حد ما اعتبار هذا الهجوم حادثة إيرانية منعزلة، وهي حادثة فردية ترتبط ارتباطًا وثيقًا بالتوترات القائمة مع إيران، فإن الهجوم على البنية التحتية الحيوية للولايات المتحدة يمثل نمطًا متكررًا.
وفقًا لـ تنبيه مشترك صادر عن وكالة حماية البيئة (EPA)، أصدرت وكالة الأمن السيبراني والبنية التحتية (CISA) ومكتب التحقيقات الفيدرالي (FBI) ووكالة الأمن القومي (NSA) ووكالة حماية البيئة (EPA) وغيرها من الهيئات الفيدرالية العديد من التحذيرات بشأن الهجمات السيبرانية التي يشنها فاعلون سيبرانيون مدعومون من دول ضد شبكات المعلومات وأنظمة التحكم في العمليات في شبكات المياه والصرف الصحي. ومن بين هذه التحذيرات، على سبيل المثال لا الحصر:
- الجهات الفاعلة السيبرانية الإيرانية التابعة للحرس الثوري الإيراني
- الناشطون الإلكترونيون المؤيدون لروسيا
- جهات فاعلة إلكترونية مدعومة من الدولة من جمهورية الصين الشعبية المعروفة باسم «فولت تايفون» و«فانجارد باندا» وأسماء أخرى.
وتعد الحوادث التي وقعت في مينيسوتا وميشيغان مجرد أحدث النقاط في صورة التهديدات التي دأبت الوكالات الفيدرالية على وصفها، كتابةً، منذ أواخر عام 2023 على الأقل.
يُعد الحصول على المياه النظيفة حقاً أساسياً من حقوق الإنسان؛ وأي محطة لا تستطيع التحقق من دقة الجرعات الكيميائية أو ضوابط الضغط الخاصة بها تمثل أزمة صحية عامة وطنية على وشك الحدوث.
على حد تعبير لي زيلدين، مدير وكالة حماية البيئة، فإن المسؤولية تقع على عاتق المسؤولين عن تشغيل المحطات. فقد نُشرت هذه التوصيات للجمهور منذ سنوات، ولا ينبغي للمشغلين انتظار صدور أمر اتحادي لإصلاح أنظمتهم.
تعد العديد من وحدات التحكم المنطقية القابلة للبرمجة (PLC)، بما في ذلك وحدات MicroLogix التي كانت في صميم هذا الحادث، أجهزة قديمة قد لا تتلقى بعد الآن تحديثات أمنية، وقد صُممت خصيصًا لأرضية المصنع، وليس للإنترنت. وإذا تعرضت هذه الأنظمة للتسلل، فإن أي اختراق بسيط سيؤدي إلى اضطراب تشغيلي حقيقي للمجتمعات الكبيرة والصغيرة على حد سواء.
كيف يتجلى هذا النمط في هجوم مينيسوتا
غالبًا ما تبدأ الهجمات النموذجية على أنظمة التشغيل التشغيلية (OT) برسالة بريد إلكتروني تصيدية تؤدي إلى اختراق مستخدم في قسم تكنولوجيا المعلومات أو نقطة طرفية. ثم يقوم المهاجم بتصعيد الصلاحيات عبر «Active Directory»، وينتقل من شبكة تكنولوجيا المعلومات إلى بيئة أنظمة التشغيل التشغيلية (OT)، ويخترق محطة عمل هندسية، ويحصل في النهاية على إمكانية الوصول إلى وحدات التحكم المنطقية القابلة للبرمجة (PLC) للتلاعب بالعمليات الصناعية أو تعطيلها.
في هجوم مينيسوتا (على الأقل)، تخطى المهاجمون جميع الخطوات تقريبًا. ويبدو أن المهاجمين لم يكونوا بحاجة إلى اختراق شبكة تكنولوجيا المعلومات الخاصة بالشركة أولاً؛ بل اكتفوا بالعثور على وحدات التحكم المنطقية القابلة للبرمجة (PLC) المعرضة مباشرةً للإنترنت واستغلالها.
بناءً على المعلومات المتوفرة، من المحتمل أن المهاجمين قد حصلوا على صلاحيات إدارية للوحدات المنطقية القابلة للبرمجة (PLCs) من خلال استغلال بيانات الاعتماد الافتراضية، أو كلمات المرور الضعيفة، أو عدم وجود سياسات للمصادقة متعددة العوامل (MFA). وقد سمح لهم ذلك بتجاوز مسار الهجوم التقليدي من تكنولوجيا المعلومات (IT) إلى تكنولوجيا التشغيل (OT)، مما أدى إلى تقليل عدد الخطوات المطلوبة لاختراق وحدات التحكم بشكل كبير.
تُبيّن سلسلة الهجوم هذه السبب الذي يجعل من الضروري ألا تكون الأجهزة من المستوى 0-1 متاحةً على الإنترنت أبدًا.
ضوابط الشبكة ليست كافية لتكنولوجيا العمليات
تُبيّن سلسلة الهجوم هذه السبب الذي يجعل من الضروري ألا تكون الأجهزة من المستوى 0-1 متاحةً على الإنترنت أبدًا.
أما فيما يتعلق بأفضل الممارسات في مجال الأمن السيبراني لنظم التشغيل، فإن مكتب التحقيقات الفيدرالي (FBI) ووكالة حماية البيئة (EPA) والوكالة الأمريكية للأمن السيبراني والبنية التحتية (CISA) توصي، عن حق، بإزالة التعرض للإنترنت، وتطبيق جدران الحماية، والشبكات الافتراضية الخاصة (VPN)، وتقسيم الشبكة، وسياسات المصادقة القوية. وتظل هذه الضوابط أساسية ويجب تنفيذها في أي مكان يتطلب الوصول عن بُعد. ومع ذلك، بالنسبة لأنظمة التحكم الصناعية ذات العواقب الخطيرة، ينبغي على المؤسسات أن تتساءل عما إذا كان الوصول الوارد عن بُعد ضروريًا أصلاً.
تُعد شبكات VPN وجدران الحماية برامج، مما يعني أنها تحتوي على ثغرات أمنية. ويتم تهيئتها بواسطة البشر، مما يعني أنه من الممكن أن يتم تهيئتها بشكل خاطئ. ويمكن للجهات نفسها التي أمضت شهر يوليو في مسح الإنترنت بحثًا عن وحدات التحكم المنطقية القابلة للبرمجة (PLC) المكشوفة أن توجه تلك الماسحات نفسها بسهولة تامة نحو نقاط نهاية شبكات VPN وجدران الحماية المعرضة للخطر أو التي تم تهيئتها بشكل خاطئ. إنها المشكلة نفسها، ولكن باستعلام بحث مختلف.
لا ينبغي أن تكون أي وحدة تحكم مسؤولة عن المياه أو الكهرباء أو النقل أو غيرها من الخدمات الأساسية الخدمات متاحة مباشرة عبر شبكة الإنترنت العامة. هناك فرق بين مصطلحي «آمن» و«معزول»، لكن هذا هو المكان الذي تفشل فيه أنظمة الأمن السيبراني لدى بعض مؤسسات المرافق العامة.
تقوم شبكات VPN بالمصادقة على الوصول عن بُعد وتشفيره، بينما تنظم جدران الحماية حركة المرور المسموح بها. وكلاهما يفترض أن مستوىً معينًا من الاتصال الوارد لا يزال متاحًا. أما البوابة أحادية الاتجاه، أو «ديود البيانات»، فتتناول هدفًا أمنيًا مختلفًا: وهو القضاء تمامًا على الاتصال الشبكي الوارد للأنظمة التي لا تتطلب التحكم عن بُعد.
كيف تقضي التدفقات أحادية الاتجاه على فئة كاملة من المخاطر
بشكل عام، تنقسم الاتصالات الصناعية إلى فئتين:
1. التحكم في حركة المرور، التي ترسل الأوامر إلى العمليات.
2. مراقبة حركة المرور، والتي تقوم بتصدير البيانات التشغيلية إلى أنظمة التسجيل التاريخي، ومراكز العمليات الأمنية (SOC)، وتطبيقات المؤسسات، والتحليلات السحابية، أو بوابات الإدارة.
ينتهي الأمر بالعديد من الأنظمة الحيوية إلى استخدام الفئة الثانية فقط. وفي هذه البيئات، فإن السماح بالاتصال الوارد لا يؤدي إلا إلى زيادة مساحة التعرض للهجمات دون أن يوفر أي قيمة تشغيلية.
وإذا كان لا بد من إرسال البيانات التشغيلية إلى الخارج، فلا ينبغي أن تمر عبر مسار يسمح بدخول أي شيء إلى الداخل. بل ينبغي أن تعبر حدودًا مادية أحادية الاتجاه يتم فرضها عبر الأجهزة.
بفضل التدفق المفروض في اتجاه واحد، يتمتع المشغلون برؤية كاملة لما يحدث في قاعة المصنع. أما المهاجمون، من ناحية أخرى، فلا تتاح لهم أي فرصة للعودة عبر هذا الاتصال.
هذا هو المبدأ الذي يقوم عليه موقع OPSWATMetaDefender™ NetWallمن شركة MetaDefender : ديودات البيانات من الجيل التالي، التي توفر أمانًا أحادي الاتجاه. يقوم نظامNetWall من شركة بتنفيذ اتصال أحادي الاتجاه مفروض بواسطة الأجهزة، حيث ينقل البيانات التشغيلية مثل معلومات السجل التاريخي، والإنذارات، والسجلات، أو القياسات عن بُعد من أنظمة OT الحيوية إلى أنظمة المؤسسة، مع منع أي جلسات شبكة، أو حركة مرور إدارية، أو أوامر تحكم من العودة مرة أخرى نحو وحدات التحكم المحمية.
ليست هناك حاجة لتأمين مسار العودة، لأنه غير موجود أصلاً. وهذا يقضي على فئة الثغرات الأمنية التي لا يستطيع جدار الحماية سدها تمامًا: مثل قاعدة تم تكوينها بشكل خاطئ، أو منفذ مفتوح، أو استثناء في السياسة. كما يتم التخلص تمامًا من الخطأ البشري كعامل خطر، نظرًا لأن الصمامات الثنائية لا تتطلب قواعد التكوين ثنائية الاتجاه المعقدة التي تستخدمها جدران الحماية. MetaDefender تم تصميم نظام «NetWall » لتلبية متطلبات الأمان الصارمة في البيئات الصناعية، فضلاً عن توصيات وكالة حماية البيئة (EPA) بشأن مرونة قطاع المياه.
10 آلاف خادم لا يزالون معرضين للخطر؛ كيف نسد هذه الثغرة؟
في الوقت الحالي، هناك أكثر من 4,100 خادم تابع لشركة «روكويل أوتوميشن/ألين-برادلي» متصل بالإنترنت، وأكثر من 4,100 خادم تابع لشركة «سيمنز»، وأكثر من 2,000 خادم تابع لشركة «شنايدر إلكتريك» متاحة عبر الإنترنت المفتوح. ووفقًا لوكالة الأمن السيبراني والبنية التحتية الوطنية (CISA)، تُعد أجهزة المودم الخلوية التي تضيفها شركات التشغيل أو الموردون أو شركات تكامل الأنظمة نقطة عمياء متكررة، لأنها غالبًا ما تكون غير موثقة، وبالتالي يتم استبعادها من عمليات الفحص الروتينية لسطح الهجوم.
بعبارة أخرى، هناك أكثر من 10 آلاف جهاز معرضة لنفس نوع الهجوم الذي استهدف مؤخرًا مرافق المياه في ميشيغان ومينيسوتا. وتستخدم هذه المرافق وحدات تحكم يمكن، في حالة اختراقها، أن تغمر المحطة بالمياه أو تترك المياه دون معالجة. تستخدم وكالة الأمن السيبراني والبنية التحتية (CISA) شبكات VPN وجدران الحماية كتوصيات أساسية لحماية البنية التحتية الحيوية للولايات المتحدة. ورغم أن لهذه الوسائل مزايا حقيقية، إلا أننا ما زلنا نتحدث عن حلول قائمة على الإنترنت أدوات. ولا يمكن أن تندرج النصائح الحالية لحماية صمام ضغط، أو نظام تغذية كيميائي، أو مياه الصنبور الخاصة بأسرة ما، ضمن نفس فئة أدوات المصممة لحماية صفحة تسجيل الدخول.
تُذكّرنا ولايتا مينيسوتا وميشيغان بأن أنظمة الأمان المخصصة للإنترنت لم تُصمم أبدًا لتكون خط الدفاع الأخير للأنظمة المادية الحيوية للسلامة العامة. فالبنية التحتية للسلامة العامة تحتاج إلى حل مادي؛ حاجز لا يستطيع المهاجمون إعادة تهيئته أو استغلاله أو اختراقه عن طريق المسح، لأنه لا يوجد مسار عودة يمكن لأي جهاز مسح أن يعثر عليه.
تؤكد الحلقة الأولى من سلسلة الأفلام الوثائقية الجديدة لـ« OPSWAT»، التي تقدمها كاري بايرون من برنامج «MythBusters»، بشكل صريح أن الدفاع متعدد الطبقات — بما في ذلك تدفق البيانات أحادي الاتجاه المفروض على مستوى الأجهزة — ليس مجرد ميزة إضافية للبنية التحتية الحيوية. بل في الواقع، يمكن أن يشكل الفارق بين مجرد تقرير عن حادث وحالة طوارئ صحية عامة.
يأخذ برنامج «كسر جدار الحماية» ( Firewall) المشاهدين من قاعات مؤتمرات الأمن إلى عروض عملية توضح بالضبط كيف تفشل جدران الحماية، وما الذي يجب أن يحل محلها. شاهد الحلقة الأولى وتعرف على ما يتطلبه تأمين البنية التحتية الحيوية للولايات المتحدة.
