Az egyesült államokbeli belbiztonsági minisztérium (U.S. Department of Homeland Security) kiberbiztonságért felelős szervezetének (U.S. Computer Emergency Readiness Team – US-CERT) az ipari létesítmények kontrollját végző osztálya (Industrial Control Systems Cyber Emergency Response Team – ICS-CERT) friss jelentésében arról számolt be, hogy nemrégiben két amerikai erőmű informatikai rendszerében is előfordult súlyos vírusfertőzés, és mindkét esetben egy külső adathordozóról, egy USB-s eszközről jutott be a malware a rendszerbe. Az egyik esetben a turbinák vezérlését le is kellett állítani a helyreállítás idejére, nagyjából három hétre.

A jelentés nem nevezi meg az erőműveket, és arra sem térnek ki, hogy vajon hagyományos vagy pedig nukleáris létesítményekről van szó.

Hiányosságok

A riport beszámol arról, hogy – mivel ezek a rendszerek a biztonság érdekében nem rendelkeznek internetkapcsolattal, le vannak választva – az egyik esetben az egyik alvállalkozó folytatta a szokásos karbantartást, mentést, melyet hordozható eszközzel végeznek el mindig. Egy friss vírusvédelmi program futott az adott gépen, és az pozitív találatot jelzett. Az alvállalkozó ekkor az erőmű informatikusaihoz fordult, akik egy vírusellenőrzővel két malware-t is felfedeztek a munkaállomásokon: egy adatlopásra tervezettet, illetve egy másik, a jelentés által „kifinomultnak” nevezetett, ám ez utóbbiról nem adtak ki részletes információkat.

A vizsgálat megállapította azt is, hogy a mérnöki munkaállomásokon biztonsági hiányosságok voltak tapasztalhatóak: nem volt biztonsági mentés (backup), illetve nagyon úgy tűnik, hogy (az egyik esetben) vírusvédelmi szoftvert sem alkalmaztak, illetve az nem volt frissítve. Épp ezért az incidens után a US-CERT ajánlásokat adott ki, melyben a fentiek korrigálása mellett azt is előírják, hogy a külső adathordozókat a csatlakoztatás előtt ellenőrizni kell, hiszen egy ilyen kontroll a mostani incidenseket is megelőzhette volna.

Az ügy az amerikai szaksajtóban egyébként kisebb vihart okozott, hiszen joggal vetődött az fel, hogy a Stuxnet után vajon miképp dolgozhatnak olyan menedzsmentek az Egyesült Államok kritikus infrastruktúrájának intézményeiben, akik ilyen alapszintű megelőző protokollokat sem vezetnek be, holott az ilyen típusú védelem már egy egyszerű magáncégnél is létszükséglet?