‘Điều khiển từ xa’ của nhà máy nước bị hack tại ít nhất 7 bang Mỹ

FBI và EPA cho biết từ ngày 27 tháng 7, các công ty cấp thoát nước tại ít nhất 7 bang đã báo cáo vụ tấn công vào bộ điều khiển. Một số vụ gây sự cố vận hành thật, gồm tụt áp và ngập nước.

Điều đó không có nghĩa nước uống ở 7 bang đã bị nhiễm bẩn. Cảnh báo ngày 30 tháng 7 không xác định kẻ tấn công, không nói mọi cơ sở đều dừng và không xác nhận ô nhiễm nước uống.

‘Điều khiển từ xa’ của nhà máy nước là gì

Mục tiêu là máy tính công nghiệp nhỏ tự động vận hành bơm và van. Tên chính thức là bộ điều khiển logic khả trình, viết tắt PLC.

FBI ghi nhận hoạt động trên MicroLogix 1100 và 1400 của Rockwell Automation. Điều đó không có nghĩa mọi thiết bị cùng mẫu, kể cả hệ thống tách khỏi internet hoặc được bảo vệ, đều bị xâm nhập.

Kẻ tấn công đổi địa chỉ và mật khẩu

Chúng truy cập từ xa vào PLC có thể tới trực tiếp từ internet rồi đổi địa chỉ IP và mật khẩu. Nhân viên có thể mất khả năng nhìn và điều khiển thiết bị kết nối.

Một tổ chức còn phát hiện tệp điều khiển bị sửa tại nhiều địa điểm. FBI cho biết cấu hình mạng giống nhau do bên thứ ba lắp đặt có thể khiến một lỗ hổng lan sang nhiều khách hàng.

Vì sao tụt áp và ngập nước đáng lo

Các tác động báo cho FBI gồm tụt áp và ngập nước. Mức độ phụ thuộc vào nhiệm vụ của PLC và tốc độ chuyển sang vận hành thủ công.

Áp lực giảm mạnh có thể cho phép nước ngầm chưa xử lý lọt vào đường ống. Đây là nguy cơ có thể xảy ra, không phải xác nhận rằng nước uống trong các vụ này đã nhiễm bẩn.

Chỉ đổi mật khẩu có đủ không

FBI và EPA đặt việc gỡ PLC khỏi internet công cộng lên đầu. Nếu cần truy cập từ xa, kết nối phải qua cổng bảo mật và tường lửa, chỉ cho phép thiết bị được phê duyệt liên lạc.

Rockwell Automation cũng khuyên không để bộ điều khiển trực tiếp trên internet. Mật khẩu mạnh và riêng, nhật ký truy cập, danh sách cho phép và bản sao lưu đã kiểm tra là các lớp bổ sung.

Lớp an toàn cuối cùng là vận hành bằng tay

Cơ sở phải tiếp tục vận hành thủ công khi tự động hóa hỏng. Quy trình chuyển khẩn cấp, thiết bị dự phòng và bản sao lưu cần được thử định kỳ trong thực tế.

Kẻ tấn công không hack nước mà hack máy tính điều khiển nước. Vì vậy mất một màn hình có thể ảnh hưởng tới bơm, van và áp lực.

Nguồn sơ cấp chính thức

Nguồn sơ cấp: FBI and EPA public service announcement, July 30, 2026

Nguồn sơ cấp: Rockwell Automation controller security advisory SD1771

Nguồn sơ cấp: EPA, FBI, CISA and NSA joint water-sector advisory