Atacurile cibernetice care au vizat sistemele de refrigerare din supermarketuri aflate în nouă țări europene, dar și mai multe bănci de sânge din Franța, ar putea face parte dintr-o operațiune coordonată, posibil susținută de un stat. Cercetătorii în securitate cibernetică au descoperit că hackerii au testat vulnerabilitățile sistemelor cu câteva zile înaintea atacurilor. Experții avertizează că aceleași breșe de securitate ar putea fi exploatate și în cazul spitalelor, centrelor de date sau al altor infrastructuri esențiale, potrivit unei analize publicate de Euronews.com.
Atacurile au avut loc pe 2 și 3 noiembrie și au afectat sistemele de refrigerare ale supermarketurilor din nouă țări europene, precum și mai multe bănci de sânge din Franța. Hackerii au exploatat vulnerabilități ale sistemului de control al refrigerării AK-SM, produs de compania Danfoss, reușind să treacă frigiderele și congelatoarele în modul de dezghețare.
În unele cazuri, temperaturile au ajuns până la 50 de grade Celsius, iar numeroase magazine au fost nevoite să arunce produsele alimentare alterate.
Incidentele au demonstrat cât de ușor pot fi perturbate activitățile cotidiene prin compromiterea unor echipamente conectate la internet, care, deși sunt esențiale pentru funcționarea magazinelor și a altor instituții, nu beneficiază întotdeauna de măsuri adecvate de securitate cibernetică.
Hackerii au testat sistemele de refrigerare cu zile înaintea atacurilor
Compania de securitate cibernetică Lupovis susține că există indicii ale unei operațiuni coordonate, care ar putea implica un actor statal.
Potrivit cercetătorilor, sistemele de refrigerare au fost vizate de o activitate intensă de recunoaștere în perioada 20-30 octombrie, înaintea atacurilor propriu-zise.
În cele zece zile, compania a identificat peste 276 de tentative provenite de la 91 de actori diferiți, îndreptate către componente specifice ale sistemelor Danfoss. Activitatea a atins un nivel maxim pe 26 octombrie, înainte de a înceta spre sfârșitul lunii.
„Între 20 și 30 octombrie, ceea ce am văzut a fost un val de ceea ce numim recunoaștere. Observăm un vârf uriaș brusc, timp de 10 zile, în care adversarii încearcă parolele implicite. Ei încearcă câteva dintre aceste vulnerabilități”, a declarat Xavier Bellekens, directorul general al Lupovis, pentru Euronews Next.
Compania a identificat această activitate prin intermediul unor sisteme numite „honeypot-uri”, concepute pentru a reproduce infrastructura digitală a clienților.
Aceste sisteme sunt echipate cu senzori și expuse în mod deliberat atacatorilor, astfel încât cercetătorii să poată observa tentativele de acces și metodele folosite de hackeri, fără a pune în pericol infrastructura reală.
Printre clienții Lupovis se numără Guvernul Scoției, Orange, Telefónica și mai multe companii din sectorul comerțului cu amănuntul.
Bellekens a comparat activitatea de recunoaștere cu pregătirea unei spargeri.
„Vă puteți imagina asta ca și cum niște spărgători ar conduce prin cartier și ar identifica casele în care vor intra și le vor sparge”, a explicat directorul companiei.
Rusia, suspectată că s-ar afla în spatele atacurilor. Ce au descoperit cercetătorii
În încercarea de a identifica originea atacurilor, specialiștii Lupovis au analizat urmele digitale lăsate în timpul activităților de recunoaștere și al incidentelor.
Cercetătorii au descoperit utilizarea unor servicii de găzduire cunoscute sub denumirea de „bulletproof hosting”, concepute pentru a rezista solicitărilor de închidere și intervențiilor autorităților.
Spre deosebire de furnizorii obișnuiți de servicii cloud, care pot suspenda conturile utilizate pentru activități ilegale, aceste servicii sunt concepute astfel încât să îngreuneze blocarea infrastructurii folosite de atacatori.
„Pe de o parte, avem Amazon Web Services, care este opusul unei găzduiri rezistente. Dacă faci ceva rău intenționat cu unul dintre serverele lor, gata, îți anulează contul. Găzduirea rezistentă este opusul. Dacă faci ceva rău intenționat, este în afara jurisdicției”, a explicat Xavier Bellekens.
Analizând furnizorii respectivi, cercetătorii au constatat că unele dintre serviciile de găzduire fuseseră utilizate anterior de grupări rusești.
„Ne-am dat seama că unele dintre acele găzduiri rezistente fuseseră folosite de grupuri rusești în trecut”, a declarat Bellekens.
Cu toate acestea, compania subliniază că utilizarea unor servere asociate anterior cu grupări rusești nu demonstrează că atacatorii provin din Rusia.
Un alt indiciu îl reprezintă distribuția geografică a activității suspecte. Potrivit directorului Lupovis, senzorii companiei din America de Sud, Africa, America de Nord și Asia nu au înregistrat activități similare. Acestea au fost detectate exclusiv de senzorii din Europa.
Totodată, faptul că majoritatea atacurilor au avut loc într-un interval de aproximativ 24 de ore sugerează, în opinia specialistului, existența unei coordonări.
„Nu sunt niște lupi singuratici. Pare o operațiune bine planificată. Așadar, un stat se potrivește perfect”, a declarat Xavier Bellekens.
Directorul Lupovis consideră că toate aceste indicii ar putea sugera implicarea Rusiei, însă a precizat că nu există suficiente dovezi pentru o atribuire certă.
„Când tragem de fir, pare că ar putea fi Rusia. Deci, practic, aici ne aflăm”, a adăugat acesta.
Incidentele au loc pe fondul îngrijorărilor privind amenințările hibride și activitățile suspectate a avea legături cu Rusia, care vizează mai multe state europene.
Identitatea și motivația atacatorilor rămân însă necunoscute.
Experții avertizează că atacurile nu au necesitat tehnologii sofisticate
George Nott, redactor specializat în tehnologie la publicația The Grocer, a explicat pentru Euronews Next că atacurile asupra sistemelor de refrigerare au exploatat vulnerabilități relativ simple.
Potrivit acestuia, hackerii au identificat paginile de autentificare ale sistemelor conectate direct la internet și au folosit parole slabe, precum și vulnerabilități pentru care existau deja actualizări de securitate.
„Atacatorii au reușit să acceseze sistemele de refrigerare pur și simplu găsind paginile lor de conectare pe internetul deschis și exploatând vulnerabilități deja corectate și parole slabe, în loc să folosească o tehnologie extrem de avansată”, a declarat George Nott.
Specialistul a avertizat că, în lipsa unor dovezi clare, nu poate fi stabilită identitatea celor responsabili.
„Încă nu este clar cine a fost în spatele atacului sau ce sperau să realizeze. Va trebui să ne confruntăm cu un fapt pe care s-ar putea să nu-l știm niciodată. Fără nicio cerere de răscumpărare sau revendicare a responsabilității, ar fi putut fi oricine, de la un actor sponsorizat de stat până la o bandă de adolescenți care fac asta pentru distracție”, a explicat Nott.
Autoritățile europene au avut, de asemenea, abordări diferite în clasificarea incidentelor.
Agențiile de securitate cibernetică din Belgia, Luxemburg, Italia, Portugalia și Estonia le-au descris drept atacuri cibernetice, în timp ce autoritățile din Suedia și Irlanda au folosit termenul de incidente cibernetice.
Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) a evitat, la rândul său, să clasifice explicit evenimentele drept atacuri cibernetice.
Cum au reușit hackerii să controleze frigiderele și congelatoarele
Una dintre principalele vulnerabilități exploatate a fost accesul direct la internet al sistemelor de control al refrigerării.
Aceste echipamente permit administratorilor să monitorizeze și să modifice de la distanță funcționarea frigiderelor și congelatoarelor, însă pot deveni ținte pentru atacatori dacă nu sunt protejate corespunzător.
Xavier Bellekens a explicat că multe dintre dispozitive ar fi fost mai bine protejate dacă accesul s-ar fi realizat prin rețele private virtuale (VPN), în loc ca sistemele să fie expuse direct pe internet.
Potrivit specialistului, o asemenea măsură ar fi redus considerabil riscul de compromitere, deoarece accesul prin VPN este mai dificil de exploatat.
Mai mult, unele dintre sistemele atacate puteau fi accesate folosind datele de autentificare prestabilite de producător, precum numele de utilizator „Supervisor” și parola „12345”.
Această situație sugerează că, în anumite cazuri, nu au fost implementate nici măcar măsurile elementare de securitate.
Odată ce hackerii obțineau acces la sistemele de control, puteau modifica setările de funcționare și activa modul de dezghețare, determinând creșterea temperaturilor și compromiterea produselor depozitate.
George Nott a subliniat că vulnerabilitățile reflectă o problemă mai amplă a sectorului comercial, unde securitatea echipamentelor conectate este uneori neglijată în favoarea unor sisteme considerate mai importante.
„Securitatea echipamentelor conectate în sectorul comerțului cu amănuntul poate fi trecută cu vederea, prioritatea fiind acordată unor ținte mai evidente, cum ar fi sistemele de plată și datele clienților”, a explicat specialistul.
Nu doar supermarketurile sunt vulnerabile. Spitalele și centrele de date, în pericol
Experții avertizează că atacurile asupra frigiderelor reprezintă doar un exemplu al riscurilor asociate echipamentelor conectate la internet.
George Nott atrage atenția că vulnerabilități similare pot apărea și în alte sisteme utilizate de supermarketuri, precum instalațiile de încălzire, ventilație și aer condiționat, etichetele electronice de pe rafturi sau roboții pentru curățarea podelelor.
Aceste echipamente pot deveni ținte dacă accesul de la distanță nu este securizat corespunzător și dacă software-ul nu este actualizat.
Riscurile depășesc însă sectorul comercial.
Kumar Sokka, directorul general al Acre Security, companie specializată în soluții integrate de securitate fizică, avertizează că aceleași tipuri de dispozitive sunt utilizate în numeroase alte domenii.
„Congelatorul nu este ceva special. Este doar exemplul cel mai vizibil al unei categorii mult mai mari”, a declarat Kumar Sokka.
Potrivit acestuia, controlerele conectate la internet sunt folosite în clădirile moderne pentru administrarea ușilor, sistemelor de control al accesului, camerelor de supraveghere, alarmelor, iluminatului, încălzirii și ventilației.
„Același tip de mic controler conectat la internet, folosit pentru încălzirea acelor frigidere, controlează și ușile, cititoarele de control al accesului, camerele video, alarmele, iluminatul, încălzirea și ventilația în majoritatea clădirilor moderne”, a explicat specialistul.
Sokka avertizează că vulnerabilități similare ar putea afecta logistica, depozitarea, sectorul medical, industria și centrele de date, mai ales în situațiile în care echipamentele au fost instalate fără o supraveghere adecvată a securității.
Consecințele unui atac ar putea fi mai puțin vizibile decât în cazul produselor alimentare alterate, dar mult mai periculoase.
„Într-un birou, un spital sau un centru de date, același tip de compromis ar putea fi o ușă care se deschide, o cameră care se stinge sau o alarmă care rămâne silențioasă, și nu ar exista stocuri stricate care să anunțe cuiva că ceva nu este în regulă”, a avertizat Kumar Sokka.
Potrivit acestuia, riscurile sunt deosebit de mari în cazul infrastructurilor în care compromiterea unui sistem informatic poate produce imediat consecințe fizice.
De ce rămân vulnerabile aceste sisteme, în ciuda regulilor europene de securitate cibernetică
Deși Uniunea Europeană dispune de reglementări privind securitatea cibernetică, experții susțin că multe organizații nu includ infrastructurile fizice conectate în strategiile lor de protecție.
Directiva europeană NIS2 obligă organizațiile care intră sub incidența sa să gestioneze riscurile asociate rețelelor și sistemelor informatice, inclusiv prin implementarea măsurilor de securitate, inventarierea și gestionarea activelor și gestionarea incidentelor.
Kumar Sokka consideră însă că numeroase companii se concentrează în continuare asupra infrastructurii IT tradiționale, precum serverele, calculatoarele și serviciile de e-mail, în timp ce sistemele de refrigerare, control al accesului și administrare a clădirilor sunt lăsate în responsabilitatea departamentelor de mentenanță.
„Multe organizații încă își concentrează activitatea NIS2 în jurul IT-ului clasic, serverelor, laptopurilor și e-mailului, și lasă refrigerarea, controlul accesului și sistemele clădirii în seama echipei de facilități, ca sarcini de mentenanță mai degrabă decât de securitate”, a declarat acesta.
În opinia specialistului, principala problemă nu este neapărat lipsa legislației, ci modul în care cerințele existente sunt aplicate.
„Regulamentul nu este de fapt piesa lipsă. Piesa lipsă constă în tratarea acestor sisteme fizice ca parte a suprafeței de atac pe care regulamentul deja vă cere să o protejați și în acordarea cuiva a responsabilității clare asupra lor”, a explicat Sokka.
Inteligența artificială ar putea face viitoarele atacuri și mai periculoase
Experții în securitate cibernetică avertizează că dezvoltarea inteligenței artificiale ar putea accelera identificarea vulnerabilităților și conceperea unor atacuri asupra dispozitivelor conectate.
Gianni Cuozzo, fondator și director general al companiei italiene de securitate cibernetică Exein, consideră că inteligența artificială reduce semnificativ timpul necesar transformării unei vulnerabilități într-un atac funcțional.
„Inteligența artificială scurtează timpul dintre descoperirea unei vulnerabilități și transformarea ei într-un atac funcțional”, a declarat Gianni Cuozzo.
Potrivit acestuia, producătorii ar putea avea dificultăți în a dezvolta, testa și distribui actualizări de securitate suficient de rapid pentru a ține pasul cu identificarea noilor vulnerabilități.
Cele mai expuse sunt dispozitivele conectate care rămân în funcțiune ani la rând și pot fi controlate de la distanță.
„Sistemele care m-ar îngrijora cel mai mult sunt dispozitivele conectate care rămân pe teren ani de zile și pot fi controlate de la distanță: refrigerare, sisteme de control al clădirilor, echipamente industriale, sisteme de asistență medicală, centre de date și părți ale infrastructurii energetice și de transport”, a avertizat Cuozzo.
Specialistul consideră că organizațiile nu ar trebui să se bazeze exclusiv pe actualizările software sau pe măsurile de protecție a rețelelor.
În opinia sa, echipamentele conectate trebuie proiectate astfel încât să poată identifica și bloca automat comportamentele periculoase, chiar și atunci când vulnerabilitățile exploatate nu sunt încă descoperite sau corectate.
„Fiecare dispozitiv trebuie să fie capabil să se apere în timpul execuției și să blocheze preventiv comportamentele pe care nu ar fi trebuit să le îndeplinească, indiferent dacă există sau nu un patch și dacă vulnerabilitatea este deja cunoscută sau nu”, a explicat Gianni Cuozzo.
Atacurile asupra sistemelor de refrigerare din Europa evidențiază astfel riscurile unei infrastructuri tot mai conectate la internet, în care vulnerabilități aparent minore pot provoca perturbări majore și pot afecta inclusiv servicii esențiale.
