Incidentas, nukentėjo 700 prekybos centrų, išnaudojo pasenusius įrenginius, prieinamus internetu.
Šią savaitę masinis šaldymo sistemų įsilaužimas, apytikriais vertinimais, palietė 700 prekybos centrų visoje Europoje: jų įranga staiga sutriko, todėl sugedo neįsivaizduojamai daug tonų greitai gendančių produktų, o kai kuriais atvejais kilo gaisrų. Kaip dabar įprasta, to būtų išvengta taikant elementarias kibernetinio saugumo priemones.
Prancūzijos valdžios institucijos teigia, kad buvo nulaužtos sistemos, kurias sudaro visi parduotuvėje įrengti šaldytuvai ir šaldikliai. Tiksliau, buvo pažeisti internetu prijungti valdikliai, leidžiantys technikams nuotoliniu būdu administruoti visos parduotuvės sistemas. Nežinomi užpuolikai tuomet įjungė atitirpdymo funkciją tiek laiko, kad šaldytuvuose temperatūra pakilo net iki 50 °C (122 °F). Kai masinis įsilaužimas buvo aptiktas, maistas jau buvo sugedęs, o kai kur užsidegė ir elektros sistemos.
Įsilaužimai, kurių nebūtų reikėję
Keli saugumo biuleteniai ir vieši tyrimų ataskaitos rodo, kad visuose trijuose per incidentą tariamai nulaužtuose valdiklių modeliuose, kuriuos parduoda Danijos bendrovė Danfoss bei Dixell ir jos pagrindinė bendrovė Copeland JAV, buvo kritinių pažeidžiamumų, leidžiančių užpuolikams nuotoliniu būdu prisijungti prie įrenginių su tokiomis pat sistemos teisėmis kaip administratoriai. Pavyzdžiui, iki neseniai Danfoss valdikliai naudojo kasdien besikeičiantį slaptažodį. Jis generuojamas pagal datą viešai prieinamoje programinėje įrangoje (firmware). Įsilaužėlis, skyręs laiko kodui išanalizuoti, gali padaryti tą patį su bet kuriuo įrenginiu, kuris pastaruoju metu nebuvo atnaujintas. Kasdieniai slaptažodžiai sutampa visuose modeliuose, esančiuose šimtuose ar tūkstančiuose parduotuvių.
Per pastaruosius kelis mėnesius ištaisyta daugybė kritinių Copeland/Dixel valdiklių pažeidžiamumų taip pat suteikia panašią nuotolinę prieigą.
Be to, kad naudojo valdiklius su pasenusia programine įranga, paveiktos parduotuvės tikriausiai neapsaugojo įrenginių VPN ir nesudarė riboto IP adresų, kuriems leidžiama prisijungti, sąrašo. Šios apsaugos priemonės yra standartinės, bet dažnai netaikomos. Šiuo atveju tai leido įvykdyti masinį įsilaužimą, kuris greičiausiai kainavo dešimtis ar šimtus milijonų eurų tokiose šalyse kaip Prancūzija, Ispanija, Portugalija, Lenkija, Vokietija ir Belgija.
Paaiškinimas: VPN yra užšifruotas virtualus ryšys, leidžiantis prie tinklo prisijungti saugiai, o ne tiesiogiai per atvirą internetą. IP adresų leidžiamųjų sąrašas (allowlist) nustato, kad prisijungti gali tik iš anksto patvirtinti adresai.
„Rezultatą būtų pakeitę du dalykai“, – trečiadienį teigė „Pen Test Partners“ tyrėjai. – „Kibernetinė higiena būtų užkirtusi kelią prieigai: valdiklį reikia atjungti nuo viešojo interneto, nuotolinę prieigą apsaugoti VPN ir IP adresų leidžiamųjų sąrašu, trečiųjų šalių įrangą prijungti prie tinklo kontroliuojamai, su aiškiu savininku ir dokumentuotai, o ne palikti ją veikti per rangovo nuosavą ryšį, pakeisti žinomus ir numatytuosius slaptažodžius bei atnaujinti programinę įrangą iki naujausios versijos.“
Saugumo bendrovės „Claroty“ tyrėjai apie grėsmę ignoruoti šiuos elementarius žingsnius įspėjo pernai spalį. JAV Kibernetinio saugumo ir infrastruktūros saugumo agentūra tą patį padarė vasarį.
Elektroniniu paštu „Copeland“ pripažino pažeidžiamumą, „nustatytą nebegaminamoje, naudojimo laikotarpį baigusioje valdiklių kartoje“, ir teigė bendradarbiaujanti su klientais, kad panašių incidentų ateityje būtų išvengta. Danfoss atstovai į klausimus iš karto neatsakė. CNN teigė, kad bendrovė taip pat minėjo nebegaminamus modelius.
Kol kas už atakos stovinti šalis tyli. Tai leidžia manyti, kad motyvas galėjo būti masinis vandalizmas. Kita galimybė – valstybė ar kitas tarptautinis veikėjas, siekiantis sukelti viso žemyno mastu juntamus sutrikimus.
Incidentas išryškina daugelyje įmonių esančią įtampą tarp finansų ir saugumo skyrių. Kai kurios bendrovės nenori skirti didelių sumų naujai įrangai, kai nėra apčiuopiamos naudos ar sutaupymo. Tik po niokojančio įsilaužimo jos supranta, kodėl investicija buvo verta. Paveiktų prekybos tinklų vadovai tikriausiai išmoks skaudžių pamokų. Mažiau aišku, ar šis perspėjamasis pavyzdys paveiks kitas įmones.
