Poging om waterzuiveringsinstallatie te vergiftigen was geen cyberincident

De poging om een Amerikaanse waterzuiveringsinstallatie in 2021 te vergiftigen via een cyberaanval blijkt waarschijnlijk helemaal geen cyberaanval te zijn geweest. De FBI concludeert na een onderzoek dat er geen bewijs is voor zo'n cyberincident.

Het is niet duidelijk wat er dan wel is gebeurd in de waterzuiveringsinstallatie van Oldsmar in de Amerikaanse staat Florida. Begin 2021 kwam via lokale media naar buiten dat een onbekende hacker zou hebben ingebroken in de ict-systemen van de installatie. De aanvaller zou vervolgens hebben geprobeerd het natriumhydroxidegehalte in het water stapsgewijs te veranderen en zo de zuurgraad ervan aan te passen. Het incident werd breed uitgemeten en wordt tot de dag van vandaag door veel cybersecurityexperts aangehaald als een voorbeeld waarbij een hack grote fysieke gevolgen op infrastructuur kan hebben. Experts waarschuwen al jaren voor dergelijke rampscenario's en zagen in het Oldsmar-incident een bevestiging van die waarschuwingen.

Het verhaal werd toen onderschreven door verschillende bestuursleden van de waterzuiveringsinstallatie en door de lokale politie die onderzoek deed. Daarbij kwamen veel details naar buiten van werknemers van de installatie. Die zouden bijvoorbeeld hebben gezien hoe een muiscursor plotseling begon te bewegen op schermen.

Nu blijkt dat het incident geen hack of andere digitale inbraak was. De FBI, die later samen met de Amerikaanse Secret Service een onderzoek startte, heeft tijdens een conferentie gezegd dat er 'geen bewijs van toegang van buitenaf' is gevonden. Ook een oud-manager van de installatie noemt het incident inmiddels een 'non-event'. De FBI vermoedt dat het hoogstwaarschijnlijk de medewerker die het incident aanvankelijk meldde was. Die medewerker zou per ongeluk zijn of haar toetsenbord verkeerd hebben aangeslagen of een verkeerde knop hebben ingedrukt en de schuld mogelijk hebben willen verleggen.

De FBI heeft nog geen officiële verklaring uitgegeven, maar zegt tegen de Tampa Bay Times dat het onderzoek 'niet kan bevestigen dat het incident het gevolg is van een gerichte cyberaanval op Oldsmar'. Het is niet duidelijk of het onderzoek nog steeds loopt en waarom de FBI de informatie niet eerder naar buiten heeft gebracht.

Reacties (34)

[Victorppp]

De FBI vermoedt dat het hoogstwaarschijnlijk de medewerker die het incident aanvankelijk meldde was. Die medewerker zou per ongeluk zijn of haar toetsenbord verkeerd hebben aangeslagen of een verkeerde knop hebben ingedrukt en de schuld mogelijk hebben willen verleggen.

Een foutje kan zo gemaakt zijn maar om nou gelijk zo'n verhaal te verzinnen is best extreem. (mocht dit het geval zijn)

[Reactie gewijzigd door Victorppp op 23 juli 2024 01:03]

[euchromatic]

In Florida kan een werknemer zelfs zonder reden direct ontslagen worden (at-will employment). Een dergelijke fout toegeven is vrijwel zeker meteen ontslag; dan is de poging om een onbekende hacker verantwoordelijk te laten zijn zo gek nog niet.

[wildhagen]

Sorry hoor, maar als je een fout maakt, geef dat dan gewoon toe. Dat kan alijd gebeuren, we zijn allemaal mensen.

Nu probeerde hij echter iemand anders (een onschuldig iemand dus!) de schuld in de schoenen te schuiven. Dat vind ik, op zijn zachtst gezegd, extreem ongepast. Hoe zou hij het vinden als een collega van hem een fout maakt, en dat in zijn schoenen zou proberen te schuiven?

Nu heeft hij outright gelogen (en daarmee veel onrust, en een kostbaar FBI-onderzoek veroorzaakt), dat lijkt me een betere grond voor ontslag én mogelijk een plaatsing op een zwarte lijst, dan het toegeven van een eenvoudige fout...

[White Feather]

Nu probeerde hij echter iemand anders (een onschuldig iemand dus!) de schuld in de schoenen te schuiven. Dat vind ik, op zijn zachtst gezegd, extreem ongepast. Hoe zou hij het vinden als een collega van hem een fout maakt, en dat in zijn schoenen zou proberen te schuiven?

Tenzij de FBI zelf “bewijs” gaat maken, zal er nooit genoeg zijn om wie dan ook verdacht te maken.

Nu heeft hij outright gelogen (en daarmee veel onrust, en een kostbaar FBI-onderzoek veroorzaakt), dat lijkt me een betere grond voor ontslag én mogelijk een plaatsing op een zwarte lijst, dan het toegeven van een eenvoudige fout...

Absoluut

Daarbij kwamen veel details naar buiten van werknemers van de installatie. Die zouden bijvoorbeeld hebben gezien hoe een muiscursor plotseling begon te bewegen op schermen.

Tja, beetje old-fashion-hack dan.

Vroeger prikten we wel eens een extra muis in de pc van de overbuurman in de kantoortuin en dan een klein beetje bewegen zodat iedere klik fout gaat.

[mjtdevries]

Tenzij de FBI zelf “bewijs” gaat maken,

Daar zijn ze bij de FBI wel ervaren in, dus wat dat betreft... (FISA court)

Tja, beetje old-fashion-hack dan.

Als meerdere werknemers hebben gezien hoe een muiscursor begon te bewegen, dan lijkt de huidige uitleg dat één werknemer verkeert klikte en zijn fout niet wilde toegeven toch erg onwaarschijnlijk?

Of is die ene werknemer dan bij meerdere mensen de muis gaan omprikken om zijn verhaal geloofwaardiger te maken?

[White Feather]

Een optische muis op een tafel met een patroontje geeft ook af en toe een beweging.

Of even iets verschuiven waarbij je de muis aantikt, kan ook “aanvoelen” alsof er iemand iets aan het doen is.

Als er dan een collega roept dat je gehackt bent, is het niet raar dat de collega’s dat beamen.

[Draaksteker]

Ik heb mijn draadloze muis wel eens in mijn tas zitten terwijl er aan de docking station ook al een muis hangt. Als de draadloze muis per ongeluk geactiveerd in mijn laptoptas zit wil dit nog weleens leiden tot spontaan schuivende muiscursor.

[Cergorach]

En dat is dan ook de reden waarom je in een maatschappij wil leven waarbij een fout maken niet direct betekend 'ontslag!'... Denk 2021, midden in de pandemie, heeft wellicht een gezin te onderhouden in Amerika. Als je zeker weet dat de waarheid vertellen een ontslag betekend, dan moet je extreem sterk in de schoenen staan als je dan de waarheid verteld en ontslag maar voor lief neemt. Ik verwacht dat ook in Nederland slechts een extreem klein percentage mensen dit zou doen onder die omstandigheden.

Als freelancer kan mijn contract veel sneller ontbonden worden dan bij vaste job, een maand opzeg termijn zit standaard in de meeste contracten of gewoon het contract niet verlengen. Maar ik ga dan ook niet aan de slag bij bedrijven waarbij een fout maken direct ontslag betekend, voor grote fouten met financiële gevolgen ben ik tegen verzekerd. Dus ik heb eigenlijk geen reden om te liegen, in tegendeel ik heb reden om dat juist niet te doen. Het is waarschijnlijk zo dat als het uiteindelijk bovenwater komt een opdrachtgever daar wel werk van wil maken en omdat je heb gelogen is de kans ook zeer aanwezig dat je verzekering ook niet gaat helpen bij geleden schade. Naast natuurlijk nog reputatieschade... To err is human (and to really mess things up requires a computer)!

Maar in dit specifieke geval heeft de medewerker nog twee jaar een betaalde job gehad.

[TechSupreme]

Sorry hoor, maar als je een fout maakt, geef dat dan gewoon toe. Dat kan alijd gebeuren, we zijn allemaal mensen.

Jij hebt makkelijk praten vanuit je luxe West Europese positie, maar in een maatschappij waarin je voor het geringste werkeloos kan raken zonder enige vorm van sociale vangnetten doet iedereen zn oogkleppen op en bemoeit zich met z'n eigen zaken. Zolang het niet bewezen kan worden dat jij het was alles ontkennen.

[bzuidgeest]

Dat is in een normale wereld. We hebben het over Amerika. Daar is de arbeidsmarkt realiteit wat anders dan hier. Een fout kan je kop kosten, Baan weg en met pech nog een rechtszaak ook. Je hebt als werknemer geen rechten daar.

[NielsFL]

Kortzichtige gedachte (van die werknemer). Fouten maken is menselijk en leerzaam. Mits je daar goed op reageert zullen veel toekomstige werkgevers dat als pluspunt zien tegenover een 'groentje' of iemand met een verdacht foutvrij verleden.

En ja, zijn huidige baas zal hem desondanks toch ontslaan. Dat heeft nu eenmaal een symbolische waarde. Het pad dat hij nu koos is echter veel funester voor zijn carriere.

[Aldy]

Zo werkt het niet in de VS. Daar is het presteren, presteren en nog eens presteren. En fouten worden afgeslacht. En je volgende werkgever is als het tegen zit een fastfoodrestaurant. En zelfs daar mag je geen fouten maken.
Geloof me, Nederland is zo slecht nog niet.

[Simyager]

Medewerkers zijn ook maar mensen. Ik heb projectmanagers die gelijk boos worden als er een mail te laat is verstuurd (letterlijk 2 dagen na de start van het project dat pas over een jaar klaar is) en dan gaan ze onze afdelingshoofd in de mail zetten dat onze afdeling niet naar behoren presteert.

Ik kan ertegen, maar ik kan me voorstellen dat sommige collega's meteen in paniek gaan en hun fouten niet durven aan te geven.

Ter illustratie de andere afdelingen hebben 40 mensen elk en wij moeten dezelfde projecten doen met 3-4 personen. We zijn echt onderbemand en werkdruk ligt veel te hoog. En maar blijven verkopen natuurlijk en de schuld afzetten bij één afdeling.

[i-chat]

hoop blabla maar als dat allemaal ECHT zo heftig is kun je beter gewoon elders gaan soliciteren, een werkgever die niet wil inzien dat er te veel werk is voor te weinig personeel is gewoon heel slecht voor jou als werknemer en zal er op termijn voor zorgen dat je last gaat krijgen van arbeids gerelateerde ziekten zoals burnout- depressie etc...

kom je dan vervolgens in de ziektewet kost het jouw wel mooi 30% van je inkomen (bij ziekte zijn werkgevers normaal gesproken slecht verplicht om maximaal 170% (in plaats van 200) loon te betalen over de 2 jaar dat je ziek mag zijn ...

kortom ga er eens goed voor zitten en zoek een baan waar je gewoon een normale werkdruk hebt nu je nog gezond en fit bent.

[warhamstr]

hoop blabla maar als dat allemaal ECHT zo heftig is kun je beter gewoon elders gaan soliciteren, een werkgever die niet wil inzien dat er te veel werk is voor te weinig personeel is gewoon heel slecht voor jou als werknemer en zal er op termijn voor zorgen dat je last gaat krijgen van arbeids gerelateerde ziekten zoals burnout- depressie etc...

kom je dan vervolgens in de ziektewet kost het jouw wel mooi 30% van je inkomen (bij ziekte zijn werkgevers normaal gesproken slecht verplicht om maximaal 170% (in plaats van 200) loon te betalen over de 2 jaar dat je ziek mag zijn ...

kortom ga er eens goed voor zitten en zoek een baan waar je gewoon een normale werkdruk hebt nu je nog gezond en fit bent.

Een betere baan ga je in de USA niet vinden. Daar houd je je b*K en ga je je dagen in je cubicle uitzitten tot je iets anders hebt. Niemand neemt verantwoording voor iets, want voor je het weet kun je je (eigen) spullen pakken en wegwezen. Succes daarna, zoek het maar uit.

[smartsys]

Ik denk dat de bedrijfscultuur waarbij je om ieder klein wissewasje direct op staande voet de laan uit gestuurd kan worden wel bijdraagt aan dit soort ellende.
Als een foutje maken tot ontslag kan leiden zul je niet snel foutjes toegeven.
Wat dat betreft hebben we hier een betere bescherming van medewerkers en kan een foutje geen reden zijn om direct ontslagen te worden.
Ik denk dat je er als werkgever ook meer aan zou hebben om te achterhalen hoe zo'n fout heeft kunnen gebeuren?. Waarom de systemen dit niet zien? En hoe kunnen we dit in de toekomst voorkomen?
Mensen moeten leren van fouten en ze niet keihard afstraffen.

[Crahsystor]

Het is niet alleen een bedrijfscultuur, het is een nationale cultuur. Foutje > levenslang gestraft. Met een strafblad daar ben je op veel plekken levenslang de pineut. Moeilijk aan werk komen, niet mogen lenen, niet mogen wonen waar je wilt. Levenslang.

Hier was het waarschijnlijk gewoon direct ontslag geweest. Niet in de minste plaats omdat de directie zich in verlegenheid gebracht had gevoeld. In een samenleving waar perceptie belangrijker is dan feiten, is het verzinnen van een hack om jezelf te beschermen helemaal niet vreemd.

[Douweegbertje]

Ook natuurlijk geen blaam bij de media die geen onderzoek doet en de meest pikante titel gebruikt op basis van aannames. Nu zie je Tweakers ook de link naam "een onbekende hacker zou hebben ingebroken in de ict-systemen" gebruiken. Terwijl de echte titel van het artikel "Hacker poogde Floridase waterzuivering te vergiftigen door zuurgraad te wijzigen" is. Oftewel "het is gewoon zo" op basis van niets.

Toch jammer dat letterlijk niemand, of althans niet de grotere nieuwsoutlets, gedegen onderzoek doen en alles maar klakkeloos overnemen.

[Cergorach]

Ook natuurlijk geen blaam bij de media die geen onderzoek doet
<snip>
Oftewel "het is gewoon zo" op basis van niets.

Toch jammer dat letterlijk niemand, of althans niet de grotere nieuwsoutlets, gedegen onderzoek doen en alles maar klakkeloos overnemen.

Erm... Ik zal de eerste zijn die zal roepen dat Tweakers.net regelmatig iets 'fout' doet, maar toch echt niet in dit geval. Het Tweakers.net artikel dat je aanhaalt heeft een bron waarin letterlijk staat:

Pinellas Sheriff Bob Gualtieri said the attacker tried to raise levels of sodium hydroxide

Met daaronder een foto van de beste Sherrif tijdens een persconferentie.

Op wat voor manier had een Tweakers.net of zelfs een Tampa Bay Times hier een andere conclusie kunnen trekken dan dat de Sherrif, de burgemeester en de stadsmagistraat niet uit hun achterwerk kletsten? De FBI is ruim twee jaar bezig geweest en trekt nu een andere conclusie, wat exact had de media kunnen onderzoeken dat ze toen wel het juiste antwoord boven water hadden gekregen waar de FBI nu twee jaar over heeft gedaan... En het is niet alsof de FBI een feilloze organisatie is!

Bron:
https://www.tampabay.com/...during-hack-sheriff-says/

[LurkZ]

waar de FBI nu twee jaar over heeft gedaan... En het is niet alsof de FBI een feilloze organisatie is!

Ik heb hier toch wel een slecht gevoel bij. Ja het moet zeker goed onderzocht worden, maar 2 jaar is ook een brevet van onvermogen.

De FBI kan niet met een betrouwbare conclusie komen omdat het blijkbaar extreem moeilijk was om de bewijzen rond te krijgen. Als de FBI een stapel overduidelijke bewijzen zou hebben die allemaal in dezelfde richting wijzen zou het onderzoek eerder zijn afgerond.

Eigenlijk hoop ik dat het onderzoek 20 maanden in de wacht heeft gestaan en dan het daadwerkelijke onderzoek maar twee maanden in beslag heeft genomen.

[Sebben]

Het verhaal werd toen onderschreven door verschillende bestuursleden van de waterzuiveringsinstallatie en door de lokale politie die onderzoek deed

Wie zou je nog meer willen interviewen?

[BlueHulk]

Mensenlief, als er iemand letterlijk liegt tegen de pers, is dat de schuld van die persoon en niet van de pers. Een beetje nuance mag nog wel.

[TechSupreme]

Tweakers is niet een groot persagentschap met globale correspondentie. De redactie heeft ook niet de middelen om bij elke actualiteit iemand half de wereld rond te sturen. Als er een bericht binnenkomt met betrouwbare bronnen (bestuurders en lokale politie) die zeggen dat het zo is, dan kan Tweakers niks anders als dat overnemen.

Als ze bij elke actualiteit precies moeten gaan uitpluizen wat er nou is gebeurd, dat is onbegonnen werk. De FBI heeft er 2 jaar over gedaan en zelfs zij zijn niet 100% zeker.

[Groningerkoek]

Tweakers is een commercieel onderdeel van een internationaal mediabedrijf met 6.000 werknemers, men kan dus wel iets meer doen dan klakkeloos dingen overnemen.

[RoamingZombie]

Dat slaat nergens op. Tweakers heeft geen 6000 medewerkers en al die andere mensen van het 'mediabedrijf' hebben compleet andere taken die niets met Tweakers te maken hebbben.

[LurkZ]

Toch jammer dat letterlijk niemand, of althans niet de grotere nieuwsoutlets, gedegen onderzoek doen en alles maar klakkeloos overnemen.

Het is toch al lang overduidelijk dat outlets vrijwel nooit onderzoek doen.
Een belangrijke gebeurtenis en een de volgende morgen staan de 'feiten' in alle kranten op de voorpagina. Toevallig had iedere krant een journalist ter plaatse?

Als een kleine outlet puur bij toeval wel een journalist ter plaatse had en heel andere conclusies trekt is het een krant voor plottertjes.

[Alxndr]

Met de kennis van nu schrijven ze inderdaad die anchor-tekst, wat zouden ze anders moeten doen? Het is niet dat ze nu ineens (de titel) van dat artikel hebben aangepast. Sterker nog, misschien zouden ze dat eigenlijk wel moeten doen, met een disclaimer erbij natuurlijk.

En hoeveel onderzoek verwacht jij dat een nieuws/tech site doet? Zelfs de FBI heeft er twee jaar voor nodig gehad. Sorry, maar het lijkt mij alsof je gewoon makkelijk punten wil scoren.

[joost00719]

Je zou de FBI maar op je dak krijgen voor een PEBKAC situatie...

[wildhagen]

Dan is er nog niet per definitie iets aan de hand. Als je gewoon kan uitleggen wat er is gebeurd en dat kunt aantonen, is er verder weinig tot niks aan de hand.

Dat de FBI onderzoek doet betekent niet automatisch dat je opeens van de aardbodem verdwijnt en je nooit meer teruggezien wordt ofzo. Het is geen club met gangsters oid. Als je onschuldig bent heb je daar weinig tot niets van te vrezen.

Dát de FBI onderzoek doet lijkt me op zich ook niet zo raar, gezien dit potentieel heel erg veel slachtoffers zou kunnen eisen (iedereen die water uit die zuiveringsinstallatie krijgt), en de publieke impact van een potentieel probleem met zo'n installatie. Better safe than sorry.

Wel kwalijk vind ik dat die medewerker de 'schuld' probeerde te verleggen in iemand anders zijn schoenen. Een foutje maken kan gebeuren, dat gebeurt ons allemaal wel eens, maar geeft dat dan gewoon toe. Hoe ging dat gezegde ook al weer? "Eerlijk duurt het langst", toch?

[CivLord]

Wel kwalijk vind ik dat die medewerker de 'schuld' probeerde te verleggen in iemand anders zijn schoenen. Een foutje maken kan gebeuren, dat gebeurt ons allemaal wel eens, maar geeft dat dan gewoon toe. Hoe ging dat gezegde ook al weer? "Eerlijk duurt het langst", toch?

Dat kan nog wel een staartje hebben. Liegen tegen de FBI is een misdrijf.
Wanneer het een leugentje om bestwil is, dat weinig invloed heeft op het onderzoek, kan het je vergeven worden. Wanneer het onderzoek daardoor gestart wordt en voortduurt, dan ben je echt de Sjaak...

[moonlander]

Maar er hoeft helemaal geen bewijs te zijn als de sporen zijn uitgewist.... of er was gewoon geen logging aanwezig...

[Venator]

Klinkt ineens wel heel erg als de standaard politieke respons van een iemand die alleen gehandeld zou hebben, om daarmee de bevolking en de media te sussen en te verzekeren dat het incident niet zomaar herhaald kan worden op andere plekken of op een veel grotere schaal. Je mag hopen dat dat inderdaad het geval is