MNIT erklärte am 28. Juli, der Behörde seien keine aktuellen Aufforderungen an Einwohner bekannt, ihr Trinkwasserverhalten zu ändern. Gegenüber The Hacker News bestätigte die Behörde jedoch, dass „mehr als 30 Wassersysteme im gesamten Bundesstaat betroffen waren“. Art und Ausmaß der Auswirkungen hätten sich je nach System unterschieden; die laufenden Untersuchungen sollten noch klären, bei wie vielen es tatsächlich zu Betriebsstörungen kam.
Nach Angaben von MNIT weisen die Vorfälle gemeinsame Merkmale auf. Dazu zählten der Zeitpunkt, die Methoden des Zugriffs und die Art der anvisierten Infrastruktur. Diese Übereinstimmungen seien die Grundlage dafür, die Aktivitäten als koordiniert zu bezeichnen. Die Behörde erklärte zudem, die Ähnlichkeiten passten zu Aktivitäten, die Bundespartner auch in anderen Bundesstaaten und Branchen beobachtet hätten. Ob jedoch ein einzelner Akteur für alle Vorfälle verantwortlich ist, lasse sich bisher nicht feststellen.
Auch beim Zugriffsweg auf die Systeme hätten Ermittler Parallelen identifiziert, teilte MNIT mit. Konkrete technische Details veröffentlicht die Behörde während der laufenden Untersuchung jedoch nicht. Eine endgültige Zuschreibung gibt es demnach noch nicht. MNIT koordiniert Eindämmung, Untersuchung, Wiederherstellung und den Austausch von Bedrohungsinformationen gemeinsam mit staatlichen Stellen, der Cybersecurity and Infrastructure Security Agency (CISA), der Environmental Protection Agency, dem Federal Bureau of Investigation und den betroffenen Versorgern.
John Israel, stellvertretender Kommissar von MNIT und Informationssicherheitschef von Minnesota, erklärte, Cyberangriffe auf kritische Infrastruktur erforderten „eine koordinierte gesamtstaatliche Reaktion“. Nach Darstellung von MNIT habe diese Reaktion es den beteiligten Stellen ermöglicht, den Vorfall einzudämmen und schwerwiegendere Auswirkungen auf kritische Dienste zu verhindern.
Vier Tage vor den Angriffen in Minnesota hatten US-Behörden separat eine Warnung zu mit Iran verbundenen Akteuren ausgeweitet. Diese hätten internetseitig erreichbare speicherprogrammierbare Steuerungen von Rockwell Automation, Schneider Electric, Siemens und möglicherweise weiteren Herstellern ins Visier genommen. Ermittler beobachteten in dieser Kampagne laut Behörden, dass Angreifer Projektdateien exfiltrierten und veränderten, über Mensch-Maschine-Schnittstellen und SCADA-Systeme angezeigte Daten manipulierten und Abschalt- sowie Alarmlogik deaktivierten.
Eine öffentliche Verbindung zwischen dieser Kampagne und den Angriffen in Minnesota haben staatliche und föderale Stellen bisher nicht hergestellt. Tenable erklärte allerdings, Zeitpunkt und operatives Muster seien mit dem breiteren Bedrohungsökosystem von CyberAv3ngers vereinbar, betonte aber zugleich, dass es keine offizielle Zuschreibung gebe. Scott Caveza, leitender Forschungsingenieur bei Tenable, sagte The Hacker News, die Taktiken entsprächen weiterhin dem Vorgehen, das CyberAv3ngers und anderen mit dem Cyber-Electronic Command der iranischen Revolutionsgarde verbundenen Gruppen zugeschrieben werde. Diese Gruppen zielten nach seinen Worten spätestens seit 2023 auf kritische Infrastruktur.
Caveza ergänzte, US-Behörden hätten bereits früher davor gewarnt, dass CyberAv3ngers und andere mit Iran verbundene Gruppen Wasser- und Abwassersysteme über speicherprogrammierbare Steuerungen und Mensch-Maschine-Schnittstellen angreifen und dabei in einigen Fällen Betriebsunterbrechungen verursachen. CISA verweist in ihrem Hinweis auf sektorweite Schutzmaßnahmen. Dazu gehören das Protokollieren von Verbindungen über Mobilfunkmodems, die Beschränkung des Zugriffs auf Steuerungen auf autorisierte Systeme sowie die Prüfung laufender Projektdateien auf unbefugte Änderungen. Betreiber sollten Sicherungen vor einer Wiederherstellung validieren und Steuerungen mit physischem Modusschalter erst dann in den Betriebsmodus versetzen, wenn die Projektdateien geprüft wurden.
Minnesotas Behörden haben bislang weder eine Familie speicherprogrammierbarer Steuerungen noch eine konkrete Zugriffsmethode oder eine ausgenutzte Schwachstelle öffentlich benannt. Nach Angaben von MNIT war die Untersuchung am 29. Juli 2026 weiterhin aktiv, während Einsatzkräfte die betroffenen Systeme weiter überprüften.