Hjem ~ Nyheder ~ Vandværk hacket: Fjernadgang var ikke sikret godt nok

Vandværk hacket: Fjernadgang var ikke sikret godt nok

Kort før jul oplevede Tureby Alkestrup Vandværk, at dets pumpesystem blev hacket. Det lykkedes hackere at foretage ondsindede handlinger, som koster vandværket dyrt i reparationer af brud på ledningsnettet.

Formand Jan Hansen fra Tureby Alkestrup Vandværk fortæller:

“Efter denne oplevelse, stiller jeg gerne op og deler ud af det, vi har lært. Det nytter ikke at forsøge at skjule noget, og hvis vores eksempel kan stå som skræk og advarsel for andre vandværker, så synes jeg trods alt, at der er kommet noget godt ud af det hele. Mit råd nummer 1 er: Køb den rigtige løsning, og betal hvad det koster. Det vi beskæftiger os med, er levnedsmidler, så lad være med at spare.”

Hvad skete der?

Forhistorien er, at vandværket for år tilbage tog et nyt SRO-system i brug. På daværende tidspunkt var pumpesystemet bundet op på en sikker fjernforbindelse, som SRO-leverandøren stillede til rådighed. Alt gik godt i flere år, men i takt med at telefoner, tablets og computere løbende udskiftes, kræver det også at den sikre fjernopkobling skal ændres. Og det koster hver gang.

“I bund og grund misforstod vi prisen på fjernopkoblingen, når vi udskiftede telefoner, tablets og computere. Set i bakspejlet er det den største fejl, vi har begået. Hvis vi havde forstået prisen korrekt, så tror jeg faktisk ikke, at vi havde fundet et billigere alternativ. Summa summarum er i hvert fald, at vi indgik en billigere aftale med et andet firma end SRO-leverandøren – en aftale, som ikke var så sikker, som den vi oprindeligt havde. Det er forhistorien”, fortæller Jan Hansen.

Alt gik helt fint – vandværkets bestyrelsesmedlemmer og driftsansvarlige kunne overvåge driften hjemmefra – lige indtil kort før jul.

“Vi oplever, at pumperne er låst, men vi kunne genstarte systemet via fjernadgangen. I vores hoveder lurer dog en frygtelig mistanke om, hvorvidt vi er blevet hacket eller ej. Næste dag får vi en alarm, som fortæller, at der er noget galt med vandtrykket, og denne gang kan vi ikke genstarte systemet via fjernadgangen. Driftslederen kører ned på vandværket og forsøger at genstarte systemet, men det lykkedes heller ikke. Pumpesystemerne var låst, og vi kunne intet gøre,” siger Jan Hansen og fortætter:

“Vi fik hurtigt fat i SRO-leverandøren, og i løbet af 3-4 timer var pumperne oppe og køre igen. SRO-leverandøren er rigtig dygtig og har hjulpet os utroligt meget i denne situation. Men hele miseren er vores egen skyld, og i fremtiden vil vi betale, hvad tingene koster”.

Tilbage i normal drift igen – men det koster

Nu har Tureby Alkestrup Vandværk fået genetableret en sikker VPN-forbindelse, og der er købt computere, som kun bruges arbejdsrelateret. Men hackerangrebet har været skyld i et stort og et mindre ledningsbrud lige op til jul. Desuden har de på vandværket ledt efter endnu et brud, som netop er lokaliseret.

“Reparationer, lækagesporing og nyt sikkerhedsgrej på SRO-anlægget løber op i flere hundrede tusinde kroner, som vi godt nok har på bogen. Men vi havde egentlig regnet med, at pengene skulle bruges på BNBO-erstatninger”, siger Jan Hansen.

Cyberforsikring

“Det er mange penge, og så ærgrer man sig over, at vi ikke havde en cyberforsikring. Derfor er min anbefaling til andre vandværker: Tegn en cyberforsikring – hellere i dag end i morgen”, slutter Jan Hansen.

Hackerangrebet kort fortalt

Pumpestyringssystemet var opsat med fjernadgang via et standardmodem fra en teleudbyder, og med fast IP-adresse var der lavet en portforward, som gjorde systemet tilgængeligt via VNC-viewer med en simpel 4-cifret pinkode.

1: Vandtrykket på alle pumper var sat til manuelt tryk på 0 procent. Dette blev rettet kort efter, men resulterede i at ca. 450 husstande stod uden vand i ca. 1 time.

2: Vandtrykket blev igen ændret, denne gang til 100 procent, hvilket resulterede i at et vandrør sprang og efterlod ca. 50 husstande uden vand i cirka 7 timer, hvor skaden blev udbedret.

Fjernadgangen er blevet udskiftet med en sikker VPN-forbindelse, og dermed er en gentagelse af hændelserne afværget.

Af sikkerhedsmæssige årsager beskriver vi ikke i detaljer, hvordan hackerne bar sig ad.