Sistema SCADA de una empresa de servicios públicos atacado

Una empresa eléctrica permitió que un proveedor contratado estableciera una conexión VPN. Ninguna de las partes tomó medidas adecuadas para asegurar la protección de acceso, pensando que la otra lo había hecho. La conexión originalmente debía tener exposición mínima a Internet, cuando en realidad tenía exposición significativa. Un actor de amenaza explotó esta vulnerabilidad, lo que permitió la penetración del sistema SCADA. (#2)

El ataque produjo un impacto financiero significativo para la empresa, aunque no perdió energía eléctrica y sus clientes no se vieron físicamente afectados. La empresa perdió el uso de su sistema SCADA durante 2 semanas, hasta que el sistema SCADA pudo reprogramarse por completo y convertirse en un sistema “trusted”. El costo fue de 4 persona-meses de esfuerzo. La empresa no reportó el incidente; no había obligación, ya que no se perdió energía eléctrica. (#2)