Kiberdrošības pētnieki ir palīdzējuši atklāt vairākas nezināmas ievainojamības, kas bieži vien gadiem ilgi ir pakļāvušas degvielas uzpildes stacijas visā pasaulē attālai pārņemšanai. Ievainojamības tika atrastas iebūvētā degvielas uzpildes stacijas kontrolierī. Pašlaik ir uzstādīti un tiešsaistē darbojas vairāk nekā tūkstotis šādu kontrolieru. To ražotājs tika informēts, kad apdraudējums apstiprinājās, vēsta Kaspersky Lab.
Antivīrusu izstrādātāja vecākais drošības pētnieks Ido Naors kopā ar citu pētnieku atrada kontrolieri nesaistīta pētījuma laikā, kad pētīja ierīces ar atvērtiem savienojumiem ar internetu. Daudzos gadījumos kontrolieris bija ievietots degvielas uzpildes stacijā vairāk nekā pirms desmit gadiem un kopš tā laika ir bijis savienots ar internetu.
Šāds kontrolieris, kas vada Linux datoru, darbojas ar augsta līmeņa privilēģijām, un pētnieki atklāja vairākas ievainojamības, kas pakļauj kiberuzbrukumam šo ierīci un sistēmas, ar kurām tā ir savienota. Piemēram, pētnieki varēja uzraudzīt un konfigurēt daudzus degvielas uzpildes stacijas iestatījumus. Uzbrucējs, kas spēj apiet pieteikšanās ekrānu un iegūt piekļuvi galvenajām saskarnēm, varētu veikt jebkuru no šīm darbībām:
• izslēgt degvielas uzpildes sistēmas;
• mainīt degvielas cenas;
• izraisīt degvielas noplūdes;
• apiet norēķinu termināļus, lai zagtu naudu (kontrolieris savienojas tieši ar maksājumu termināli, tādējādi var pārtvert maksājumu darījumus);
• vākt transportlīdzekļu reģistrācijas numurus un vadītāju identitātes;
• izpildīt programmu kontroliera blokā;
• brīvi pārvietoties degvielas uzpildes stacijas tīklā.
«Runājot par pievienotajām ierīcēm, ir viegli koncentrēties uz jaunajām un aizmirst par lietām, kas ir uzstādītas pirms daudziem gadiem un var padarīt uzņēmumu pilnīgi atklātu pret uzbrukumiem. Bail pat iedomāties par zaudējumiem, ko var nodarīt, kaitējot degvielas uzpildes stacijai. Mēs esam iepazīstinājuši ražotāju ar saviem konstatējumiem,» sacīja Ido Naors.
Par ievainojamībām ir ziņots arī MITRE, un pētījums turpinās.
Kaspersky Lab iesaka lietiskā interneta pievienoto ierīču ražotājiem ņemt vērā savu ražojumu drošības apsvērumus kopš paša izstrādes un projektēšanas sākuma un pārskatīt vecākas ierīces, vai tajās nav varbūtēju drošības ievainojamību. Pievienoto ierīču lietotāji tiek mudināti regulāri pārskatīt šo ierīču drošību un nepaļauties uz rūpnīcas iestatījumiem.
