Garda de Coastă a urcat la bordul a două petroliere după atacuri cibernetice. Ce e confirmat și ce doar se revendică

Garda de Coastă a Statelor Unite și FBI au urcat, în august 2026, la bordul a două nave energetice care se îndreptau spre Texas, după atacuri cibernetice asupra sistemelor lor. Informația a devenit publică abia pe 15–16 septembrie. Este unul dintre puținele cazuri documentate public în care o autoritate de stat inspectează fizic o navă comercială aflată în tranzit, tocmai pentru un incident cibernetic.

Ce au confirmat autoritățile

• Pe 21 august, o echipă formată din personal de aplicare a legii al Gărzii de Coastă, membri ai echipei Cyber Protection Team, un inspector de navă și operatori din Cyber Action Team al FBI a urcat la bord pentru o inspecție și o investigație de securitate cibernetică. Formularea aparține Gărzii de Coastă.
• Investigatorii au examinat atât sistemele OT, cât și cele IT, și au lucrat împreună cu echipajul și cu operatorii corporativi ai navei pentru eliminarea amenințării.
• Contraamiralul Amy Grable a declarat public că echipa „a găsit activitate cibernetică malițioasă”, fără să numească vreun stat responsabil.
• Garda de Coastă a comunicat că nu au existat perturbări operaționale, instabilitate a navei, pericol fizic pentru echipaje sau efecte asupra mediului.
• A doua navă, un transportator de gaz natural lichefiat neidentificat public, a fost inspectată pe 24 august.

Bloomberg a identificat prima navă drept VL Prosperity, un petrolier sub pavilion liberian de circa 333 de metri, cu o capacitate de aproximativ 2,3 milioane de barili, care se îndrepta spre Galveston. Potrivit relatărilor, nava plecase din Egipt pe 1 august, iar atacul s-ar fi produs în jurul datei de 7 august, în zona strâmtorii Gibraltar.

Ce se revendică și nu este confirmat

Aici discuția devine interesantă. Presa de stat iraniană a revendicat atacul. Garda de Coastă nu a atribuit public incidentul nimănui, iar CBS News precizează explicit că revendicarea rămâne neverificată.

• Neverificat: că atacatorii ar fi accesat sistemele de propulsie, navigație și marfă și ar fi întrerupt comunicațiile timp de 30 de ore. Sunt relatări iraniene, nu constatări ale autorităților americane.
• Neverificat, pe cel mai slab lanț de sursă: că atacatorii ar fi redus debitul de răcire al motorului, i-ar fi crescut turația și ar fi intervenit asupra sistemelor de combustibil și de ulei. Afirmația provine de la un membru al echipajului, citat de agenția iraniană Mehr.
• Necunoscut: identitatea atacatorilor, motivația, vectorul de acces inițial și numărul total de nave afectate.
• Necunoscut: dacă abordajul din 21 august a vizat exact nava identificată public. The Record notează că acest lucru nu este confirmat.

Pune cele două versiuni una lângă alta și contradicția sare în ochi: autoritatea spune că nu au existat perturbări operaționale, iar sursele iraniene descriu 30 de ore fără comunicații și intervenții asupra motorului. Ambele nu pot fi adevărate în aceeași formă. Un fost oficial pentru securitate cibernetică al Gărzii de Coastă, Quinton DuBose, avertizează separat împotriva concluziei că o navă poate fi deturnată complet de la distanță — navele sunt, în cuvintele lui, sisteme extrem de complicate.

Separat: un aviz CISA pentru software de flotă

Cu o zi înainte, pe 15 septembrie, CISA a publicat un aviz pentru Wärtsilä FOS-Onboard, un sistem de control industrial folosit în transportul maritim și instalat la nivel global. Avizul descrie două vulnerabilități critice, CVE-2026-78225 și CVE-2026-81855, ambele legate de chei codificate direct în produs. Exploatarea ar putea permite livrarea unei actualizări neautorizate, execuția de cod sau extragerea de credențiale pentru a impersona un client privilegiat. Producătorul afirmă că vulnerabilitățile nu sunt exploatabile în configurația de instalare recomandată și a pus la dispoziție un patch.

O precizare necesară, ca să nu se lipească două povești care nu au legătură: CISA afirmă că nu există exploatare publică cunoscută a acestor vulnerabilități, iar nicio sursă nu leagă avizul de incidentele de pe cele două nave. Sunt două semnale separate despre același sector, în aceeași săptămână — atât.

De ce contează pentru o organizație din România

Să fim limpezi de la început: nicio sursă citată aici nu susține că o navă, un operator sau un port din România ar fi fost vizate. Ce se transferă nu este incidentul, ci trei lucruri structurale.

• Transportul este unul dintre sectoarele acoperite de Directiva NIS2, al cărei termen de transpunere a fost 17 octombrie 2024. Companiile din logistică, expediții și operațiuni portuare intră într-un regim în care incidentele nu mai sunt o chestiune internă.
• Modelul de expunere este identic în orice industrie cu tehnologie operațională: un activ care lucrează departe de birou, cu conectivitate prin satelit sau prin rețeaua unui furnizor, întreținut de tehnicieni externi care vin cu laptopul și cu mediul lor de stocare. Schimbă nava cu o fabrică, o stație de pompare sau o flotă de camioane și problema arată la fel.
• Personalul care ia deciziile critice nu stă la sediu. Un echipaj, un operator de tură sau un tehnician de teren decide singur, la trei dimineața, dacă acceptă o actualizare, dacă bagă un stick sau dacă dă acces la distanță cuiva care spune că e de la furnizor.

Exercițiul: patru injecturi pentru un activ aflat departe

Rulează-l cu operațiuni, IT, securitate, juridic și un reprezentant al conducerii. Adaptează „nava” la activul tău îndepărtat. Pentru fiecare etapă cere aceleași cinci lucruri: decizia, responsabilul, termenul, dovada și pragul de escaladare.

• Injectul 1 — activul pierde comunicațiile cu sediul pentru câteva ore. Nu știi dacă e o pană tehnică sau un incident. Cine decide cum îl tratezi și după cât timp?
• Injectul 2 — operatorul de la fața locului raportează un comportament neobișnuit al unui sistem de proces. Ce poate face singur, ce nu are voie să facă și pe ce canal confirmă instrucțiunile primite?
• Injectul 3 — o publicație externă scrie că ai fost atacat și citează detalii tehnice pe care tu nu le-ai confirmat. Cine răspunde public, ce spui și ce nu spui înainte de a avea dovezi?
• Injectul 4 — o autoritate anunță că vrea să inspecteze activul. Cine o însoțește, ce loguri și ce dovezi poți pune pe masă în aceeași zi și cine decide ce se predă?

Injectul 3 este cel care se ratează cel mai des. În cazul real, versiunea publică a circulat înaintea concluziilor oficiale, iar o organizație nepregătită fie tace și lasă povestea altcuiva, fie confirmă din reflex detalii pe care nu le-a verificat.

Ce măsori

• Timpul până la declararea unui incident atunci când singurul semnal este tăcerea unui activ aflat la distanță.
• Procentul de operatori de teren care confirmă o instrucțiune neobișnuită pe un canal independent, nu pe cel prin care a venit.
• Existența unei liste scrise cu ce poate face echipa de la fața locului fără aprobare și ce nu.
• Timpul până la primul mesaj public coerent și procentul de afirmații din el care sunt susținute de dovezi proprii.
• Timpul necesar pentru a livra loguri utilizabile dintr-un sistem de proces, măsurat, nu estimat.
• Numărul de furnizori cu acces la distanță la activele operaționale și modul în care acel acces se retrage.

Un rezultat bun nu este o echipă care știe povestea celor două petroliere. Este o echipă care, pusă în fața unui activ tăcut și a unei revendicări publice, separă din prima ce a constatat singură de ce spune altcineva — și comunică diferența fără să o ascundă.