Biroul guvernatorului statului Colorado a comunicat pe 18 septembrie 2026 că, la finalul lui august, actori străini au pătruns la doi furnizori privați de apă și au manipulat echipamente folosite pentru controlul sistemelor de apă potabilă. Potrivit comunicatului, incidentele au presupus „schimbarea setărilor echipamentelor, dezactivarea accesului la distanță și a alarmelor și modificarea ciclurilor de pompare”.
Ce este confirmat
- Doi furnizori privați de apă, fiecare cu sub 200 de persoane deservite, au fost afectați; au fost notificați la finalul lui august și au acționat rapid. Biroul guvernatorului descrie incidentele drept scurte.
- Acțiunile atacatorilor: schimbarea setărilor echipamentelor, dezactivarea accesului la distanță și a alarmelor, modificarea ciclurilor de pompare.
- Impactul, în formularea oficială: „din câte știm, procesele de tratare și calitatea apei nu au fost afectate la niciunul dintre furnizori” și nu a existat impact asupra siguranței publice sau a serviciilor de apă.
- Furnizorii de apă din stat au fost îndemnați să își reverifice măsurile de securitate, iar informațiile au fost distribuite prin rețeaua de răspuns a agențiilor de apă și canalizare din Colorado.
- Numele furnizorilor nu au fost făcute publice.
Ce nu este confirmat
Biroul guvernatorului spune explicit că nu poate confirma ce actori anume au fost implicați. Separat, menționează că are cunoștință despre eforturi în desfășurare la nivel național, atribuite unei grupări susținute de Iran, de a accesa sisteme de apă potabilă și de canalizare, citând CISA.
- Necunoscut: vectorul de acces inițial la cei doi furnizori.
- Necunoscut: dacă aceiași actori sunt în spatele valului mai larg și al acestor două incidente.
- Raportat, nu confirmat de stat: un val de incidente la utilități din cel puțin șapte state, implicând controlere logice programabile Rockwell Automation/Allen-Bradley expuse la internet, începând cu 27 iulie 2026.
Alarmele dezactivate sunt partea cea mai gravă
Într-o listă de patru acțiuni, atenția se duce firesc la ciclurile de pompare. Dar cea mai periculoasă este dezactivarea alarmelor. O alarmă oprită nu produce niciun efect vizibil — produce absența unui efect. Sistemul pare liniștit exact în momentul în care ar fi trebuit să țipe.
Pentru un operator, asta înseamnă o regulă contraintuitivă: liniștea neobișnuită este un semnal. Dacă un sistem care genera de obicei câteva alerte pe săptămână nu a mai generat niciuna de zece zile, aceea nu e o veste bună, ci o întrebare.
Cele șapte verificări pentru un operator fără echipă de securitate
Scara contează. Un operator cu doi angajați nu poate implementa un program de securitate OT. Poate însă răspunde la șapte întrebări, iar majoritatea nu costă nimic.
- Ce echipamente de control sunt accesibile din internet, direct sau prin redirecționare de port? Dacă răspunsul e „nu știu”, aceasta este prima sarcină, nu a șaptea.
- Ce parole au acele echipamente și dacă vreuna a rămas cea din fabrică. Include aici conturile create de instalator la montaj.
- Cine are acces la distanță astăzi: angajați, fostul integrator, firma de service, producătorul. Și prin ce mecanism se retrage fiecare acces.
- Există o listă scrisă cu valorile normale de funcționare, astfel încât cineva să poată observa o setare modificată? Fără o referință, nimeni nu vede diferența.
- Cine primește alarmele, pe ce canal, și cine observă dacă alarmele încetează să mai vină?
- Ce se poate face manual, pe teren, dacă sistemul de control nu mai este de încredere — și cine știe procedura?
- Pe cine suni și în cât timp raportezi, dacă apare o suspiciune? Numărul se scrie pe perete, nu se caută în criză.
Exercițiul: 30 de minute, fără prezentare
- Injectul 1 — un operator observă că o setare are altă valoare decât o știa. Nu există alarmă. Ce face în următoarea oră și pe cine sună?
- Injectul 2 — accesul la distanță al firmei de service nu mai funcționează, iar aceștia spun că nu au schimbat nimic. Cine investighează și ce nu atingeți până atunci?
- Injectul 3 — se constată că alarmele erau dezactivate de câteva zile. Cum reconstituiți ce s-a întâmplat în acel interval și ce dovezi mai există?
- Injectul 4 — trebuie să anunțați autoritatea și clienții. Cine scrie, ce spuneți despre calitatea serviciului și ce nu afirmați înainte de a avea certitudini?
Ce măsori
- Numărul de echipamente de control accesibile din internet — obiectivul realist fiind zero, cu excepțiile documentate.
- Numărul de conturi de acces la distanță active și câte aparțin unor terți.
- Timpul necesar pentru a retrage accesul unui furnizor extern, măsurat efectiv.
- Existența unei liste scrise cu valorile normale de funcționare și data ultimei actualizări.
- Timpul până la observarea faptului că alarmele au încetat să mai sosească.
- Timpul până la primul apel corect făcut de un operator care suspectează ceva.
Nicio sursă citată aici nu susține că un operator din România ar fi fost vizat. Ce se transferă este profilul țintei: infrastructură mică, echipamente vechi accesibile din rețea, un integrator cu acces permanent și nimeni care să se uite la alarme. Acel profil nu ține de geografie.