Atacurile asupra sistemelor de refrigerare din Europa au scos la iveală vulnerabilități de securitate de bază. Experții avertizează însă că aceleași probleme ar putea pune în pericol echipamentele din spitale și centre de date.
Cercetătorii în domeniul securității cibernetice spun că au detectat tentative de accesare a sistemelor de refrigerare conectate la internet din mai multe țări europene, cu câteva zile înaintea unei serii de atacuri cibernetice care au perturbat activitatea supermarketurilor și a unor bănci de sânge. Dovezile indică posibilitatea unei operațiuni coordonate, scrie Euronews.
Pe 2 și 3 noiembrie, sistemele de refrigerare din supermarketuri aflate în nouă țări europene, precum și cele utilizate de mai multe bănci de sânge din Franța, au fost atacate.
Hackerii au profitat de măsurile slabe de securitate și de vulnerabilitățile sistemului AK-SM, produs de compania Danfoss și folosit pentru gestionarea instalațiilor frigorifice. Aceștia au modificat setările frigiderelor și congelatoarelor, trecându-le în modul de dezghețare. În unele cazuri, temperatura a fost ridicată până la 50 de grade Celsius.
Incidentul a obligat numeroase magazine alimentare să arunce produsele alterate din frigidere și congelatoare. Atacurile au devenit astfel un exemplu vizibil al modului în care infracțiunile cibernetice pot afecta viața de zi cu zi prin compromiterea unor infrastructuri esențiale, dar adesea neglijate din perspectiva securității.
Compania de securitate cibernetică Lupovis consideră că indiciile sugerează o posibilă operațiune coordonată, care ar putea implica un actor statal. Potrivit reprezentanților firmei, atacurile au fost precedate de mai multe zile de activități de recunoaștere.
Într-un interval de zece zile, compania a identificat peste 276 de tentative de accesare a sistemelor, provenite de la 91 de actori diferiți, care vizau componente specifice ale controlerelor Danfoss. Activitatea a atins un vârf pe 26 octombrie, după care s-a oprit spre sfârșitul lunii.
„Între 20 și 30 octombrie, ceea ce am observat a fost un val de ceea ce numim activități de recunoaștere”, a declarat pentru Euronews Next Xavier Bellekens, directorul general al Lupovis.
„Am observat o creștere bruscă a activității, timp de zece zile, în care atacatorii au încercat parolele implicite și au testat câteva dintre aceste vulnerabilități”, a explicat el.
Lupovis folosește o rețea de sisteme-capcană, cunoscute sub numele de „honeypots”, care reproduc infrastructura și tehnologiile online ale clienților. Acestea sunt echipate cu senzori și expuse intenționat atacurilor hackerilor, pentru ca specialiștii să poată urmări metodele prin care sunt accesate și exploatate.
Informațiile obținute permit identificarea vulnerabilităților fără ca sistemele reale ale clienților să fie puse în pericol. Printre clienții companiei se numără guvernul Scoției, Orange, Telefonica și mai multe firme din sectorul comerțului cu amănuntul.
Cine s-ar putea afla în spatele atacurilor
Analizând urmele digitale lăsate de atacatori, specialiștii Lupovis au descoperit că aceștia au folosit servicii de găzduire web de tip „bulletproof hosting”. Aceste servicii sunt concepute astfel încât să reziste solicitărilor de închidere și intervențiilor autorităților de aplicare a legii.
Directorul companiei a explicat că aceste servicii funcționează diferit față de platformele obișnuite, precum Amazon Web Services, care pot închide rapid conturile utilizate în scopuri rău intenționate.
„Am constatat că unele dintre aceste servicii de găzduire au fost folosite în trecut de grupări rusești”, a declarat Bellekens.
Acesta a precizat însă că localizarea serverelor nu demonstrează naționalitatea celor care le folosesc, astfel că nu există suficiente dovezi pentru a afirma cu certitudine că Rusia se află în spatele atacurilor.
Totuși, reprezentanții Lupovis spun că există mai multe indicii care merită analizate. Senzorii companiei din America de Sud, Africa, America de Nord și Asia nu au înregistrat activități similare. Tentativele au fost detectate doar în Europa.
De asemenea, atacurile s-au desfășurat într-un interval de aproximativ 24 de ore, ceea ce sugerează că autorii au avut capacitatea de a coordona operațiunile în mai multe țări.
„Toate acestea ne indică un adversar care, în opinia noastră, nu este un amator care folosește programe create de alții și nici un atacator care acționează singur. Pare o operațiune bine planificată. Prin urmare, ipoteza implicării unui actor statal se potrivește”, a spus Bellekens.
El a adăugat că indiciile analizate ar putea conduce spre Rusia, fără ca această ipoteză să fie confirmată.
Incidentele au loc într-un context de îngrijorare tot mai mare în Europa privind amenințările hibride și activitățile atribuite unor grupări cu legături cu Rusia. Identitatea exactă și motivația atacatorilor rămân însă necunoscute.
George Nott, editor pe domeniul tehnologiei la publicația The Grocer, consideră că atacurile nu au presupus tehnici de hacking deosebit de sofisticate. Hackerii ar fi profitat de deficiențe elementare de securitate.
„Atacatorii au reușit să acceseze sistemele de refrigerare găsind pur și simplu paginile de autentificare ale acestora pe internet și exploatând vulnerabilități pentru care existau deja remedieri, precum și parole slabe”, a explicat acesta.
Nott a avertizat și că nu există suficiente informații pentru identificarea celor responsabili sau a scopului urmărit. În lipsa unei solicitări de răscumpărare sau a unei revendicări, atacurile ar fi putut fi comise atât de un actor susținut de un stat, cât și de un grup de adolescenți care au acționat doar pentru amuzament.
Autoritățile din țările afectate au folosit termeni diferiți pentru a descrie incidentele. Belgia, Luxemburg, Italia, Portugalia și Estonia le-au numit „atacuri cibernetice”, în timp ce Suedia și Irlanda au preferat formularea „incident cibernetic”.
Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) nu a calificat explicit evenimentele drept atacuri cibernetice.
Cum au reușit hackerii să preia controlul frigiderelor
Potrivit lui Bellekens, accesul a fost posibil deoarece sistemele de refrigerare erau administrate de la distanță prin intermediul unor controlere conectate direct la internet.
Deși administrarea de la distanță este o practică obișnuită, multe dintre aceste echipamente ar fi putut fi mai bine protejate dacă ar fi fost conectate prin rețele private virtuale (VPN), în loc să fie expuse direct pe internet.
„Acest lucru ar fi eliminat complet riscul, deoarece exploatarea unei conexiuni VPN este mai complicată”, a explicat directorul Lupovis.
O altă problemă a fost folosirea credențialelor instalate din fabrică, fără schimbarea lor ulterioară. Unele sisteme puteau fi accesate cu date de autentificare extrem de simple, precum numele de utilizator „Supervisor” și parola „12345”.
George Nott spune că situația reflectă o problemă mai amplă în sectorul comerțului cu amănuntul, unde securitatea echipamentelor conectate la internet este uneori trecută în plan secundar, în favoarea protejării unor ținte considerate mai importante, precum sistemele de plată și datele clienților.
După ce au obținut accesul la controlere, hackerii au putut modifica setările instalațiilor frigorifice, activând dezghețarea și crescând temperaturile. În consecință, produsele depozitate în frigidere și congelatoare s-au deteriorat.
Ce alte infrastructuri ar putea fi vizate
Atacurile au readus în atenție vulnerabilitățile echipamentelor conectate la internet, de la utilajele folosite în supermarketuri până la sistemele care controlează accesul, încălzirea și ventilația clădirilor.
George Nott avertizează că riscurile nu se limitează la instalațiile frigorifice. Sistemele de încălzire, ventilație și aer condiționat, etichetele electronice de la rafturi și roboții utilizați pentru curățarea pardoselilor ar putea prezenta vulnerabilități similare dacă accesul de la distanță nu este securizat corespunzător, iar programele informatice nu sunt actualizate.
Pericolul este însă mult mai extins decât sectorul comercial.
„Congelatorul nu este ceva special. Este doar cel mai vizibil exemplu dintr-o categorie mult mai largă”, a declarat Kumar Sokka, directorul general al Acre Security, companie internațională care furnizează soluții integrate de securitate fizică.
Acesta a explicat că același tip de controlere mici, conectate la internet, care au permis modificarea temperaturii frigiderelor, este folosit și pentru gestionarea ușilor, sistemelor de control al accesului, camerelor de supraveghere, alarmelor, iluminatului și instalațiilor de încălzire și ventilație din clădirile moderne.
Vulnerabilitățile ar putea afecta astfel domenii precum logistica, depozitarea, sănătatea, industria prelucrătoare și centrele de date, în special acolo unde echipamentele conectate au fost instalate fără o supraveghere adecvată.
„Într-un birou, într-un spital sau într-un centru de date, o compromitere similară ar putea însemna o ușă care se deschide, o cameră de supraveghere care se oprește sau o alarmă care nu mai funcționează. În astfel de cazuri, nu ar exista produse alterate care să semnaleze că ceva nu este în regulă”, a avertizat Sokka.
Riscul este cu atât mai mare în cazul sistemelor în care o intruziune digitală poate avea consecințe fizice imediate.
De ce rămân vulnerabile aceste sisteme
Deși Europa are deja reguli privind securitatea cibernetică, multe organizații nu includ echipamentele fizice conectate la internet în strategia lor generală de protecție, susține directorul Acre Security.
Directiva europeană NIS2 obligă organizațiile care intră sub incidența sa să gestioneze riscurile la adresa rețelelor și sistemelor informatice.
Cu toate acestea, Sokka spune că multe companii își concentrează eforturile de conformare pe infrastructura IT tradițională, precum serverele, laptopurile și serviciile de e-mail, în timp ce sistemele de refrigerare, controlul accesului și instalațiile clădirilor sunt lăsate în responsabilitatea departamentelor de administrare a facilităților.
„Problema nu este neapărat lipsa reglementărilor. Ceea ce lipsește este tratarea acestor sisteme fizice ca parte a suprafeței de atac pe care regulile existente cer deja să o protejăm și desemnarea unei persoane care să fie clar responsabilă pentru securitatea lor”, a explicat acesta.
Inteligența artificială ar putea facilita atacurile viitoare
Specialiștii în securitate cibernetică avertizează că dezvoltarea inteligenței artificiale ar putea simplifica identificarea vulnerabilităților dispozitivelor conectate și ar putea accelera transformarea acestora în instrumente de atac.
„Inteligența artificială reduce drastic timpul dintre descoperirea unei vulnerabilități și transformarea ei într-un atac funcțional”, a declarat Gianni Cuozzo, fondator și director general al companiei italiene de securitate cibernetică Exein.
El avertizează că producătorii de echipamente conectate ar putea avea dificultăți în a identifica, testa și remedia vulnerabilitățile în același ritm în care acestea sunt descoperite.
Printre sistemele care prezintă cele mai mari riscuri se numără dispozitivele conectate care rămân în funcțiune ani la rând și pot fi controlate de la distanță: instalațiile frigorifice, sistemele de administrare a clădirilor, echipamentele industriale, infrastructura medicală, centrele de date, precum și anumite componente ale rețelelor de energie și transport.
Cuozzo susține că organizațiile nu ar trebui să se bazeze exclusiv pe actualizarea programelor informatice sau pe protecția rețelelor. Dispozitivele conectate trebuie să poată identifica și bloca singure comportamentele suspecte.
„Fiecare dispozitiv trebuie să fie capabil să se apere în timpul funcționării și să blocheze preventiv comportamentele pe care nu ar trebui să le execute niciodată, indiferent dacă există sau nu o actualizare de securitate și dacă vulnerabilitatea respectivă este deja cunoscută”, a mai spus expertul.
