OT-incidentgeschiedenis · 54 incidenten · 2008 tot 2026
OT-incidentenkaart
Cyberincidenten die operationele technologie raakten, verstoorden of als doelwit hadden, van de eerste Sandworm-jaren tot nu. Kies een werelddeel of een incident op de kaart, of doorzoek de lijst.
- Effect op de operatie
- Procesimpact (12)
- Operationele verstoring (33)
- Inbraak of verijdelde aanval (9)
-
Malware in OT van de luchtverkeersleiding
De Zuid-Afrikaanse luchtverkeersdienstverlener ATNS onderzocht ransomware-gerelateerde malware in OT-omgevingen voor weerdiensten op de luchthaven van Port Elizabeth en mogelijk andere luchthavens, met aanwijzingen dat data naar het buitenland ging. Er werden geen vluchtverstoringen gemeld.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend
Les voor asset owners: Ondersteunende systemen zoals weerdata horen bij veiligheidskritieke operaties. Neem ze mee in OT-monitoring.
-
PLC-aanvallen op Amerikaanse waterbedrijven
Aanvallers wijzigden wachtwoorden en IP-instellingen van via internet bereikbare PLC's en HMI's bij ruim 30 waterbedrijven in Minnesota, waardoor monitoring en bediening wegvielen en sommige overgingen op handbediening. Binnen enkele weken meldden waterbedrijven in minstens 12 staten vergelijkbare incidenten; de waterkwaliteit in Minnesota bleef goed.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Vermoedelijk CyberAv3ngers (gelinkt aan Iran), volgens Amerikaanse functionarissen in de media; niet formeel toegeschreven
Les voor asset owners: Drie jaar na Aliquippa waren blootgestelde PLC's nog steeds de ingang. Haal directe internetblootstelling weg.
-
Kleine Britse centrale vier dagen plat
Volgens de Sunday Telegraph legde een cyberaanval een kleine elektriciteitscentrale vier dagen stil terwijl medewerkers die herstelden. De Britse overheid meldde dat het bredere energiesysteem geen risico liep.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Aan Iran gelinkte hackers, volgens persberichten; geen formele toeschrijving
Les voor asset owners: Kleine opwekkers hangen aan hetzelfde net. Basisbeveiliging geldt ongeacht de omvang.
-
Suikerfabrieken van Mackay Sugar
Ransomware legde midden in het oogstseizoen de systemen plat die rietaanvoer, oogst en inname bij de fabrieken coördineren. De fabrieken namen geen riet meer aan; één ervan hervatte twee dagen later beperkt en handmatig.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- The Gentlemen-ransomware (opgeëist)
Les voor asset owners: Seizoensgebonden bedrijven hebben geen speling. Test de handmatige terugval voordat het seizoen begint.
-
Destructieve aanval op Poolse energielocaties
Gecoördineerde aanvallen troffen ruim 30 wind- en zonneparken, een grote wkk-centrale die bijna een half miljoen klanten van warmte voorziet, en een maakbedrijf. Bij de parken beschadigden de aanvallers RTU-firmware en wisten ze HMI's, waardoor de netbeheerder ze niet meer op afstand kon bedienen; de opwek ging door. Bij de wkk-centrale hield EDR de wiper tegen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Gelinkt aan Rusland: CERT Polska zag overlap met het cluster Berserk Bear / Static Tundra; ESET schreef het met middelmatige zekerheid toe aan Sandworm
Les voor asset owners: Verspreide duurzame locaties zijn nu doelwit van destructieve aanvallen. Versterk toegang op afstand en houd herstelimages van firmware voor RTU's en beveiligingsrelais bij de hand.
-
Ransomware bij PDVSA
Een ransomwareaanval en de opschoning daarna legden de administratieve systemen van het staatsoliebedrijf plat. Een bron binnen het bedrijf zei tegen Reuters dat leveringen stillagen, terwijl PDVSA verklaarde dat productie en export niet waren geraakt.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend; PDVSA gaf buitenlandse belangen de schuld
Les voor asset owners: Opschonen kan net zo ontwrichtend zijn als de aanval. Bereid een isolatieplan voor dat de operatie laat doordraaien.
-
Brouwerijen van Asahi stilgelegd
Ransomware legde de order- en verzendsystemen van Asahi Group plat, waardoor de brouwerijen in Japan de productie moesten stoppen of verminderen en er tekorten aan bier ontstonden. Bestellingen werden wekenlang handmatig verwerkt.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Qilin-ransomware (opgeëist)
Les voor asset owners: Productie stopt als orders en logistiek stoppen. Behandel die IT-systemen als onderdeel van de operationele keten.
-
Incheck-systemen op Europese luchthavens plat
Ransomware trof MUSE, het gedeelde incheck- en boardingsysteem van Collins Aerospace. Brussel, Heathrow, Berlijn en andere luchthavens moesten dagenlang handmatig inchecken en Brussels Airport schrapte veel vluchten.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Ransomware, bevestigd door ENISA; geen groep genoemd
Les voor asset owners: Gedeelde platforms concentreren risico. Breng in kaart welke operationele processen van één leverancier afhangen.
-
Productiestop bij Jaguar Land Rover
Na een cyberaanval moest JLR zijn systemen uitschakelen en de autoproductie ongeveer vijf weken stilleggen. Het Cyber Monitoring Centre schatte de schade voor de Britse economie op zo'n 1,9 miljard pond, met gevolgen voor meer dan 5.000 organisaties in de keten.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Scattered Lapsus$ Hunters (opgeëist)
Les voor asset owners: Just-in-time-ketens vermenigvuldigen de impact van stilstand in één fabriek. Neem leveranciers mee in de continuïteitsplanning.
-
Waterkrachtcentrale in Tczew
Hacktivisten publiceerden beelden van toegang tot het besturingssysteem van een kleine waterkrachtcentrale, eerst in mei 2025 en opnieuw in augustus. Poolse analisten concludeerden uit turbinedata dat de tweede inbraak de bedrijfsvoering verstoorde.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Russische hacktivisten (opgeëist, met video)
Les voor asset owners: Ga er na een eerste inbraak van uit dat de aanvaller terugkomt. Sluit de route af, reset niet alleen het wachtwoord.
-
Damafvoer geopend in Bremanger
Aanvallers kwamen in het besturingssysteem van een dam bij het meer Risevatnet en openden een afvoer, waardoor vier uur lang zo'n 500 liter per seconde wegstroomde voordat het werd opgemerkt. Niemand raakte gewond.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Pro-Russische hackers, volgens de Noorse veiligheidsdienst PST (augustus 2025)
Les voor asset owners: Vier uur lang niets merken is de eigenlijke bevinding. Alarmeer op onverwachte veranderingen in klep- en schuifstanden.
-
Batterijfabrieken van Varta stilgelegd
Na een cyberaanval moest batterijmaker Varta uit voorzorg zijn IT-systemen uitschakelen, waardoor productie in vijf fabrieken en de administratie wekenlang stillagen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend
Les voor asset owners: Een stillegging uit voorzorg blijft alleen kort als herstelprocedures voor productiesystemen getest zijn.
-
Overlopende watertank in Muleshoe
Aanvallers manipuleerden de via internet bereikbare HMI van het waterbedrijf van een kleine stad, waardoor een opslagtank 30 tot 45 minuten overliep tot operators overschakelden op handbediening. Nabijgelegen plaatsen meldden in dezelfde dagen inbraakpogingen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Cyber Army of Russia Reborn (opgeëist); door Mandiant gelinkt aan Sandworm; twee leden gesanctioneerd door het Amerikaanse ministerie van Financiën
Les voor asset owners: Een HMI op internet is een bedieningspaneel voor iedereen. Zet toegang op afstand achter een VPN met MFA.
-
FrostyGoop legt verwarming in Lviv plat
Malware stuurde Modbus TCP-commando's naar regelaars van een gemeentelijk warmtebedrijf, waardoor meer dan 600 flatgebouwen bijna twee dagen zonder verwarming zaten bij temperaturen onder nul. Dragos maakte het in juli 2024 bekend.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend (bekendgemaakt door Dragos)
Les voor asset owners: Modbus kent geen authenticatie. Stel het niet bloot en filter en monitor welke hosts schrijfcommando's mogen sturen.
-
Water afgesloten in Erris
Aanvallers namen een in Israël gemaakte Unitronics-PLC over bij een pompstation van een lokale watervoorziening, waardoor zo'n 180 huishoudens twee dagen zonder water zaten.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Pro-Iraanse hacktivisten, passend bij de CyberAv3ngers-campagne
Les voor asset owners: Kleine beheerders worden door dezelfde massacampagnes geraakt als grote. Basishygiëne sluit de deur grotendeels.
-
Unitronics-PLC bij waterbedrijf Aliquippa
De groep nam een via internet bereikbare Unitronics-PLC over bij een drukverhogingsstation en bekladde het scherm. Het station werd handmatig bediend; de watervoorziening kwam niet in gevaar. Dezelfde groep trof Unitronics-PLC's in meerdere landen via het standaardwachtwoord.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- CyberAv3ngers, door de Amerikaanse overheid gelinkt aan de Iraanse IRGC
Les voor asset owners: Wijzig standaardwachtwoorden en zet een PLC nooit rechtstreeks op internet.
-
Havens van DP World Australia
Door een cyberincident moest DP World Australia zijn systemen van internet loskoppelen, waardoor vrachtwagens ongeveer drie dagen geen containers konden ophalen of afleveren bij vier grote terminals. Er ontstond een achterstand van tienduizenden containers.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend
Les voor asset owners: Loskoppelen is een valide inperkingsmaatregel; weet vooraf wat dan nog werkt.
-
LockBit in de haven van Nagoya
Ransomware trof het terminalsysteem van Japans drukste vrachthaven, waardoor de containeroverslag ongeveer tweeënhalve dag stillag.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- LockBit (opgeëist)
Les voor asset owners: Eén gedeeld terminalsysteem kan een hele haven stilleggen. Ontwerp op redundantie en snel herstel.
-
Voorpositionering door Volt Typhoon
Microsoft en de Five Eyes-diensten maakten bekend dat Volt Typhoon vitale infrastructuur op Guam en in de VS was binnengedrongen, waaronder communicatie, energie, water en transport. In 2024 concludeerde CISA dat het doel voorpositionering voor verstorende aanvallen was, met toegang die soms minstens vijf jaar duurde.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Volt Typhoon (Chinese staat), volgens de VS en bondgenoten
Les voor asset owners: Inbraken met living-off-the-land-technieken laten weinig sporen na. Leg normaal gedrag in OT-netwerken vast, zodat afwijkingen opvallen.
-
22 Deense energiebedrijven binnengedrongen
Aanvallers misbruikten een kritieke kwetsbaarheid in Zyxel-firewalls om in een gecoördineerde campagne 22 Deense energiebedrijven binnen te dringen. Meerdere bedrijven gingen in eilandbedrijf en verbraken de verbinding met internet. SektorCERT noemde het de grootste aanval op Deense vitale infrastructuur tot dan toe.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend; SektorCERT zag enkele indicatoren die naar Sandworm wijzen
Les voor asset owners: Een sector-CERT met sensoren bij de leden zag het patroon snel. Gedeelde monitoring loont voor kleine bedrijven.
-
Sandworm schakelt via MicroSCADA
Met living-off-the-land-technieken gaven de aanvallers via het MicroSCADA-systeem van een onderstation opdrachten om schakelaars te openen, wat een stroomstoring gaf die samenviel met Russische raketaanvallen. Twee dagen later zetten ze een wiper in. Mandiant maakte de zaak in november 2023 bekend.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Sandworm, volgens Mandiant
Les voor asset owners: Aanvallers gebruiken steeds vaker de eigen tools van de leverancier. Let op ongebruikelijk gebruik van legitieme engineeringfuncties.
-
Brand bij Khuzestan Steel
De groep viel drie Iraanse staalbedrijven aan en publiceerde camerabeelden waarop een machine bij Khuzestan Steel gesmolten staal morst en brand veroorzaakt. Volgens de groep werd zorgvuldig gehandeld om geen mensen te raken.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Predatory Sparrow (opgeëist)
Les voor asset owners: Hier komen procesveiligheid en cybersecurity samen. Risicoanalyses (HAZOP, LOPA) moeten ook bewuste manipulatie meenemen.
-
Industroyer2 gestopt voor uitvoering
Sandworm wilde hoogspanningsstations van een Oekraïens energiebedrijf uitschakelen met Industroyer2, dat IEC 60870-5-104 spreekt, en daarna systemen wissen. CERT-UA en ESET ontdekten en stopten de aanval voordat die werd uitgevoerd.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Sandworm, volgens CERT-UA en ESET
Les voor asset owners: Detectie- en responscapaciteit binnen OT kan zelfs een voorbereide statelijke aanval stoppen.
-
KA-SAT-storing raakt monitoring van windturbines
Een uur voor de inval in Oekraïne schakelde een aanval op het KA-SAT-netwerk van Viasat tienduizenden satellietmodems uit. Als nevenschade verloor Enercon de monitoring en bediening op afstand van zo'n 5.800 windturbines (11 GW) in Duitsland; de turbines bleven wel produceren.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Rusland, volgens de EU, het VK en de VS
Les voor asset owners: Weet van welke communicatieverbindingen van derden je OT afhankelijk is (satelliet, mobiel) en plan voor uitval ervan.
-
Olieterminals in Duitsland, België en Nederland
Ransomware trof brandstofleveranciers Oiltanking en Mabanaft in Duitsland en binnen enkele dagen terminalbeheerders SEA-Invest en Evos in België en Nederland. Laden en lossen bij tankterminals liep vertraging op, waardoor binnenvaartschepen in de ARA-regio moesten wachten.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend; bij Oiltanking werd BlackCat-ransomware gemeld
Les voor asset owners: Terminalautomatisering en planning zijn over bedrijven heen verweven. Deel indicatoren snel binnen de sector.
-
Iraanse tankstations vallen uit
Een cyberaanval schakelde het systeem voor gesubsidieerde brandstofpassen bij zo'n 4.300 tankstations in heel Iran dagenlang uit, terwijl digitale billboards berichten aan de opperste leider toonden. Een vergelijkbare aanval in december 2023 trof ongeveer 70 procent van de stations.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Predatory Sparrow (opgeëist)
Les voor asset owners: Centrale betaal- en toewijzingssystemen kunnen verspreide fysieke operaties stilleggen. Plan een noodmodus.
-
Haventerminals van Transnet
Een aanval op het staatslogistiekbedrijf Transnet verstoorde de containerterminalsystemen in Durban, Ngqura, Port Elizabeth en Kaapstad. Transnet riep overmacht uit en werkte ruim een week met handmatige processen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekende ransomware-operators
Les voor asset owners: Terminalsystemen zijn een single point of failure. Oefen handmatige terugvalprocedures.
-
Wiperaanval op de Iraanse spoorwegen
Een wiperaanval op de nationale spoorwegen verstoorde de dienstregeling, en vertrekborden vroegen reizigers het kantoor van de opperste leider te bellen. Onderzoekers noemden de wiper Meteor.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Predatory Sparrow / Indra (opgeëist)
Les voor asset owners: Reisinformatie en planning horen bij de spoorbedrijfsvoering. Houd daarvan geteste offline back-ups.
-
REvil-ransomware bij JBS
Ransomware dwong 's werelds grootste vleesverwerker om rundvleesfabrieken in de VS stil te leggen en verstoorde de activiteiten in Canada en Australië. JBS betaalde 11 miljoen dollar losgeld.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- REvil, volgens de FBI
Les voor asset owners: Voedselproductie is vitale infrastructuur. Herstelplannen moeten ook fabriekssystemen dekken, niet alleen kantoor-IT.
-
Colonial Pipeline
Ransomware trof het IT-netwerk van Colonial Pipeline via een VPN-account zonder meerfactorauthenticatie. Uit voorzorg legde het bedrijf de 8.850 km lange brandstofleiding ongeveer vijf dagen stil, met tekorten aan de Amerikaanse oostkust tot gevolg. OT zelf werd niet versleuteld.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- DarkSide-ransomwaregroep, volgens de FBI
Les voor asset owners: Bedrijfsafhankelijkheden zoals facturatie kunnen OT stilleggen die zelf niet geraakt is. Gebruik MFA op elke route voor toegang op afstand.
-
Waterzuivering in Oldsmar
Volgens de autoriteiten zette iemand via remote-desktopsoftware het setpoint voor natronloog van 100 naar 11.100 ppm, wat een operator direct terugdraaide. In 2023 zei de voormalige stadsmanager dat de FBI concludeerde dat het waarschijnlijk een fout van een medewerker was. Hoe dan ook bleken er een gedeeld wachtwoord, geen firewall en een niet meer ondersteund besturingssysteem te zijn.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Betwist: eerst gemeld als indringer op afstand; de voormalige stadsmanager zei in 2023 dat het waarschijnlijk een fout van een medewerker was
Les voor asset owners: Remote-accesstools op HMI's en gedeelde inloggegevens zijn hoe dan ook een risico. Log genoeg om een aanval van een vergissing te onderscheiden.
-
Stroomuitval in Mumbai
Een grote stroomstoring legde urenlang voorstadstreinen en grote delen van de stad stil. Recorded Future meldde later dat de aan China gelinkte groep RedEcho in Indiase netnetwerken zat, maar een verband met deze storing is niet aangetoond.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Betwist: deelstaatfunctionarissen vermoedden sabotage; de Indiase minister van Energie noemde een menselijke fout
Les voor asset owners: Voorpositionering is een risico, ook zonder aangetoonde schade. Zoek er actief naar in netwerken van netbeheerders.
-
EKANS-ransomware bij Honda
Ransomware, volgens berichten EKANS, trof het interne netwerk van Honda en legde de productie stil in fabrieken in de VS, Turkije, India en Brazilië. EKANS stopt eerst een lijst ICS-gerelateerde processen, zoals historian- en licentieservices, en versleutelt daarna.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Operators van EKANS-ransomware (Snake)
Les voor asset owners: Fabrieken leunen op centrale IT-diensten. Weet zonder welke diensten je productie niet kan draaien.
-
Verstoring in de haven Shahid Rajaee
Een cyberaanval op de systemen die schepen en vrachtverkeer in de grootste containerhaven van Iran regelen, zorgde dagenlang voor opstoppingen. Berichten koppelden de aanval aan vergelding voor de poging op Israëlische watersystemen twee weken eerder.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Israël, volgens functionarissen geciteerd door The Washington Post
Les voor asset owners: Logistieke systemen horen bij de operationele keten. Een haven staat stil als de planning stilvalt, ook als de kranen het nog doen.
-
Poging tot aanpassen van chloor bij Israëlische waterbedrijven
Aanvallers kwamen in besturingssystemen van meerdere drink- en afvalwaterinstallaties. Volgens media probeerden ze de chloordosering te wijzigen; de Israëlische autoriteiten meldden dat de pogingen zonder gevolgen voor de watervoorziening werden gestopt.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Iran, volgens Israëlische en westerse functionarissen in de media
Les voor asset owners: Begrens setpoints in de controller zelf, zodat een gebruiker op afstand een dosering niet naar een gevaarlijke waarde kan zetten.
-
Ransomware legt een gaspijpleiding stil
Ransomware kwam via spearphishing binnen bij een gascompressorstation en verspreidde zich van IT naar OT, waar HMI's, historians en pollingservers werden versleuteld. De beheerder legde het station en door afhankelijkheden de hele pijpleiding ongeveer twee dagen stil. Het noodplan bevatte geen cyberscenario's.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekende ransomware-operators
Les voor asset owners: Neem cyberscenario's op in noodplannen en breng afhankelijkheden tussen IT, OT en locaties in kaart.
-
Malware bij kerncentrale Kudankulam
De Indiase kernenergiemaatschappij NPCIL bevestigde dat Dtrack-malware op een pc in het administratieve netwerk van de centrale was gevonden. De besturingssystemen van de centrale waren gescheiden en bleven onaangetast.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Lazarus Group (Noord-Korea), volgens beveiligingsonderzoekers
Les voor asset owners: Scheiding tussen besturingsnetwerken en administratieve IT maakte dit tot een incident zonder gevolgen.
-
LockerGoga bij Norsk Hydro
Ransomware versleutelde wereldwijd de IT-systemen van Norsk Hydro. Meerdere extrusiefabrieken gingen over op handbediening, terwijl de smelterijen doordraaiden. Hydro betaalde niet en kreeg lof voor de open communicatie; de schade liep op tot honderden miljoenen Noorse kronen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Operators van LockerGoga-ransomware
Les voor asset owners: Geoefende handbediening en open crisiscommunicatie hielden het bedrijf draaiende.
-
Herstartende firewalls verblinden duurzame-energiebedrijf
Aanvallers misbruikten een bekende kwetsbaarheid in Cisco-firewalls bij het duurzame-energiebedrijf sPower, waardoor die ongeveer tien uur lang bleven herstarten. De meldkamer verloor telkens enkele minuten het contact met wind- en zonneparken; de opwek ging door. Het was de eerste gemelde cybergebeurtenis die Amerikaanse netoperaties verstoorde.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend
Les voor asset owners: Grensapparatuur is de voordeur van OT. Patch die als eerste.
-
WannaCry-variant legt fabs van TSMC stil
Een WannaCry-variant kwam de chipfabrieken van TSMC binnen toen een nieuwe machine werd geïnstalleerd zonder malwarescan. Meerdere fabs in Taiwan lagen dagen verstoord en TSMC schatte de schade op ongeveer 3 procent van de kwartaalomzet.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Geen: onbedoelde besmetting
Les voor asset owners: Nieuwe apparatuur en servicelaptops zijn een aanvalsroute. Scan en zet in quarantaine voordat iets op het productienetwerk komt.
-
Russische toegang tot Amerikaanse energiecontrolekamers
DHS en de FBI waarschuwden dat Russische overheidsactoren in netwerken van energie- en andere vitale bedrijven zaten, tot op werkstations in controlekamers, en informatie over ICS verzamelden. Vertrouwde derde partijen en spearphishing waren de belangrijkste ingang.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Russische overheid (Dragonfly 2.0), volgens DHS en FBI
Les voor asset owners: Toegang van leveranciers en integrators is een veelgebruikte route naar OT. Beperk die, log die en beoordeel die.
-
TRITON-aanval op een veiligheidssysteem
Aanvallers kwamen bij het Triconex-veiligheidssysteem (SIS) van een petrochemische fabriek en probeerden de controllers te herprogrammeren. Een fout in hun code bracht de fabriek in een veilige stop, waardoor de inbraak aan het licht kwam. Het was de eerste bekende aanval op een systeem dat mensenlevens moet beschermen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- TEMP.Veles / XENOTIME; gelinkt aan het Russische instituut CNIIHM, in 2020 gesanctioneerd door het Amerikaanse ministerie van Financiën
Les voor asset owners: Geef het SIS een eigen zone, laat de sleutelschakelaar niet op PROGRAM staan en monitor elke engineeringverbinding ermee.
-
NotPetya
Via een besmette update van Oekraïense boekhoudsoftware vernietigde NotPetya systemen bij bedrijven over de hele wereld. Containerterminals van Maersk lagen stil, Merck en Mondelez verloren productie en de stralingsmeting bij Tsjernobyl ging over op handmatig.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Russisch leger (Sandworm), volgens de VS, het VK en andere landen
Les voor asset owners: In een plat netwerk bereikt een worm alles. Segmentatie en offline back-ups bepaalden hoe snel bedrijven herstelden.
-
WannaCry legt autofabrieken stil
De WannaCry-worm verspreidde zich via de SMBv1-kwetsbaarheid EternalBlue naar zo'n 150 landen. Renault en Nissan legden de productie in meerdere fabrieken stil, waaronder Sandouville in Frankrijk en Sunderland in het VK.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Lazarus Group (Noord-Korea), volgens de Amerikaanse en Britse overheid
Les voor asset owners: Verouderde Windows-systemen in de productie hebben compenserende maatregelen nodig als patchen niet kan. Zet SMBv1 uit, segmenteer en monitor.
-
Industroyer bij een onderstation in Kyiv
Malware die netprotocollen sprak (IEC 60870-5-101 en 104, IEC 61850, OPC DA) opende vermogensschakelaars in een transmissiestation ten noorden van Kyiv, met een storing van ongeveer een uur. Het was de eerste bekende malware die speciaal voor aanvallen op stroomnetten was gebouwd.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Sandworm (Russische GRU), volgens de Amerikaanse en Britse overheid
Les voor asset owners: Industriële protocollen zonder authenticatie accepteren elk commando. Detecteer afwijkende commando's op protocolniveau, niet alleen aan de rand van het netwerk.
-
Verwarmingsregelingen plat door DDoS
Een DDoS-aanval trof via internet bereikbare gebouwautomatisering in minstens twee flatgebouwen. De verwarmingsregelingen bleven herstarten en stopten met verwarming en warm water terwijl het buiten vroor.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend
Les voor asset owners: Gebouwautomatisering is OT. Regelaars moeten terugvallen op een veilige stand en mogen niet rechtstreeks vanaf internet bereikbaar zijn.
-
Stroomstoring in het Oekraïense net
Aanvallers namen de SCADA-systemen van drie regionale netbeheerders over en schakelden op afstand vermogensschakelaars uit, waardoor zo'n 225.000 klanten urenlang zonder stroom zaten. Ze wisten ook systemen, maakten serieel-naar-ethernetgateways onbruikbaar en bestookten callcenters.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Sandworm (Russische GRU), volgens de Amerikaanse en Britse overheid
Les voor asset owners: De aanvallers gebruikten legitieme remote access en de eigen HMI van de operators. Sterke authenticatie en monitoring van sessies op afstand wegen zwaarder dan malwaresignaturen.
-
Hoogoven van een Duitse staalfabriek
Het Duitse BSI meldde dat aanvallers via spearphishing in het kantoornetwerk van een staalfabriek kwamen en van daaruit in het productienetwerk. Besturingscomponenten vielen uit, waardoor een hoogoven niet gecontroleerd kon worden afgeschakeld, met grote schade tot gevolg.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Onbekend
Les voor asset owners: Phishing in IT en dan doorsteken naar OT is de klassieke route. Zonegrenzen en een veilige toestand die standhoudt als besturing uitvalt, beperken de schade.
-
Havex in software van ICS-leveranciers
De Dragonfly-groep verving installatiebestanden op de websites van drie ICS-leveranciers, zodat klanten in energie en industrie zelf een remote access trojan installeerden. Een Havex-module zocht naar OPC-servers en bracht zo industriële netwerken in Europa en de VS in kaart.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Dragonfly / Energetic Bear, gelinkt aan Rusland
Les voor asset owners: Controleer leveranciersoftware (handtekeningen, hashes) voordat die OT binnenkomt. De toeleveringsketen hoort in je zone- en conduitmodel.
-
Bowman Avenue-stuwdam
Een indringer kwam via een mobiele modem in het SCADA-systeem van een kleine stuwdam en kon waterstanden en de stand van de schuif uitlezen. De schuif was voor onderhoud losgekoppeld en kon dus niet op afstand worden bediend.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Een Iraanse burger, in 2016 aangeklaagd door het Amerikaanse ministerie van Justitie
Les voor asset owners: Ook kleine assets zijn verkenningsdoelwit. Houd bij welke controllers via internet of een mobiele verbinding bereikbaar zijn.
-
Shamoon-wiper bij Saudi Aramco
De Shamoon-wiper wiste zo'n 30.000 werkplekken bij 's werelds grootste oliemaatschappij, waardoor bedrijfsprocessen wekenlang op papier liepen. De productie bleef volgens berichten draaien; het Qatarese RasGas werd enkele dagen later getroffen.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Iran volgens Amerikaanse functionarissen; opgeëist door 'Cutting Sword of Justice'
Les voor asset owners: De scheiding tussen IT en OT hield de olie stromend. Plan hoe de installatie doordraait als het kantoornetwerk wegvalt.
-
Stuxnet
Stuxnet werd in juni 2010 ontdekt en herprogrammeerde Siemens S7-controllers in de verrijkingsfabriek in Natanz, zodat centrifuges van toerental wisselden terwijl operators opgenomen normale waarden zagen. Eerdere versies waren al sinds 2007 actief. Het is het eerste bekende cyberwapen dat fysieke schade aanrichtte.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Breed toegeschreven aan de Verenigde Staten en Israël; nooit officieel bevestigd
Les voor asset owners: Een air gap is op zichzelf geen maatregel. Verwijderbare media en engineeringwerkstations brachten de aanval binnen, en de HMI toonde vervalste waarden.
-
Explosie in de Bakoe-Tbilisi-Ceyhan-pijpleiding
Bij een afsluiterstation van de BTC-oliepijpleiding brak kort voor de Russisch-Georgische oorlog een explosie en brand uit. Een rapport uit 2014 stelde dat aanvallers via het netwerk de druk hadden opgevoerd en alarmen onderdrukt, maar technisch bewijs is nooit gepubliceerd en latere analyses betwijfelen de cyberverklaring.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Rusland volgens anonieme Amerikaanse bronnen (2014); de PKK eiste de explosie op; Turkije sprak van een technisch defect
Les voor asset owners: Scheid claims van bewijs. Zonder logging en forensisch onderzoek kan niemand aantonen wat een procesverstoring veroorzaakte.
-
Trams in Łódź
Een tiener bouwde een tv-afstandsbediening om waarmee hij de infraroodgestuurde wissels van het trambedrijf kon omzetten. Vier trams ontspoorden en twaalf mensen raakten gewond.
Toeschrijving, les voor asset owners, bronnen
- Toeschrijving
- Een 14-jarige scholier uit de stad
Les voor asset owners: Ook besturingskanalen in het veld zonder authenticatie horen bij het aanvalsoppervlak, zelfs zonder netwerkverbinding.
Geen incidenten gevonden. Probeer een andere zoekterm of een ander werelddeel.
Samengesteld door OTASEC uit openbare bronnen. Toeschrijving zoals vermeld door overheden, CERT's of genoemde onderzoekers; stippen voor niet-bekendgemaakte locaties staan in het midden van het land, en stippen die dicht bij elkaar liggen zijn iets uit elkaar gezet zodat elke stip aanklikbaar is.