За да бъдат нанесени сериозни щети на европейската инфраструктура, невинаги са необходими сложни кибератаки. Понякога са достатъчни слаба парола и устройство, свързано с интернет. Това показаха атаките срещу хладилни системи в девет европейски държави и няколко кръвни банки във Франция. Хакерите успяха да повишат температурите в хладилници до 50 градуса, а магазини изхвърлиха развалена храна. Експертите подозират координирана операция с възможна руска следа. Случаят обаче разкрива по-голяма заплаха – подобни уязвимости могат да засегнат болници, центрове за данни и друга важна инфраструктура.

Атаките са извършени на 2 и 3 ноември. Според разследване на компанията за киберсигурност Lupovis те може да са били част от предварително подготвена операция. Изследователите са засекли подозрителна активност още дни преди инцидентите.

Подготовката започнала още през октомври

Между 20 и 30 октомври Lupovis е регистрирала над 276 опита за достъп до системи, които имитират хладилни контролери на производителя Danfoss. Компанията е установила активност от 91 различни източника на заплаха. Най-много опити са отчетени на 26 октомври, след което активността е спряла в края на месеца.

„Между 20 и 30 октомври наблюдавахме вълна от това, което наричаме разузнаване“, казва изпълнителният директор на Lupovis Ксавие Белекенс пред Euronews.

По думите му нападателите са проверявали фабрични пароли и известни уязвимости в системите.

Компанията е установила това чрез специални виртуални примамки, известни като honeypots. Те имитират реално оборудване и позволяват на специалистите да проследяват опитите за проникване, без да излагат на риск системите на своите клиенти.

Белекенс сравнява този процес с крадци, които обикалят квартал и предварително оглеждат къщите, в които възнамеряват да проникнат.

Защо подозренията водят към Русия?

При проследяването на цифровите следи Lupovis е установила, че нападателите са използвали специализирани хостинг услуги, които затрудняват блокирането на злонамерена дейност и намесата на правоохранителните органи.

Според компанията част от тези услуги са били използвани в миналото от руски хакерски групи. Това обаче не доказва, че Русия стои зад конкретните атаки.

Друг фактор е географският обхват. Сензорите на Lupovis в Северна и Южна Америка, Африка и Азия не са регистрирали подобна активност. Тя е била засечена само в Европа.

Експертите обръщат внимание и на координацията. Голяма част от атаките са извършени в рамките на 24 часа.

„Не изглежда да става дума за неопитен хакер или самостоятелен извършител. Прилича на добре планирана операция.

Затова държавен субект отговаря на този профил“, обяснява Белекенс.

„Когато проследим следите, изглежда напълно възможно това да е Русия“, добавя той.

Други специалисти обаче предупреждават, че засега няма достатъчно доказателства за подобно заключение.

Джордж Нот, технологичен редактор на The Grocer, посочва, че нападателите са използвали сравнително елементарни слабости в защитата, а не сложни хакерски техники.

Няма и публично известни искания за откуп или поета отговорност. Според Нот извършителите може да са свързани с държава, но е възможно да става дума и за група младежи, които просто са искали да предизвикат хаос.

Европейските институции също не са единодушни в оценките си. Белгия, Люксембург, Италия, Португалия и Естония определят случилото се като кибератака, докато Швеция и Ирландия използват термина „киберинцидент“. Агенцията на ЕС за киберсигурност ENISA също не е определила изрично случаите като кибератака.

Как хакерите са успели да размразят хладилниците?

Нападателите са използвали слабости в системите AK-SM на производителя Danfoss. Те позволяват дистанционно управление на хладилното оборудване в супермаркети и други обекти.

Част от контролерите са били достъпни директно през интернет. Според експертите някои от тях са използвали фабрични пароли, включително комбинацията от потребителско име Supervisor и парола 12345.

След получаването на достъп хакерите са променили настройките на оборудването. Те са включили режим за размразяване и са повишили температурите, в някои случаи до 50 градуса по Целзий.

Това е довело до разваляне на хранителни продукти и е принудило магазини да изхвърлят стоки.

Според Белекенс рискът би бил значително по-малък, ако контролерите не са били достъпни директно през интернет, а са били защитени чрез виртуални частни мрежи (VPN).

Джордж Нот посочва, че търговските вериги често отделят повече внимание на защитата на платежните системи и клиентските данни, отколкото на оборудването, което поддържа ежедневната им дейност.

Хладилниците са само част от проблема

Според експертите атаките разкриват много по-широка уязвимост. Подобни контролери се използват за управление на отопление, вентилация, осветление, камери, аларми и системи за достъп в съвременните сгради.

„Фризерът не е нещо специално. Той просто е най-видимият пример за много по-голяма категория“, казва Кумар Сока, изпълнителен директор на компанията за физическа сигурност Acre Security.

По думите му сходни слабости могат да съществуват в болници, логистични центрове, производствени предприятия и центрове за данни.

„В офис, болница или център за данни подобен пробив може да означава отворена врата, изключена камера или аларма, която не се задейства. И няма да има развалена стока, която да покаже, че нещо не е наред“, предупреждава Сока.

Това прави заплахата особено сериозна. При атака срещу хладилно оборудване последиците често са видими веднага. При други системи пробивът може да остане незабелязан, въпреки че създава риск за сигурността на хората и работата на цели организации.

Защо европейските правила не са достатъчни?

Европейският съюз вече има изисквания за защита на мрежите и информационните системи чрез директивата NIS2. Тя задължава организациите в нейния обхват да управляват киберрисковете и да прилагат мерки за сигурност.

Според Кумар Сока проблемът не е непременно в липсата на регулации, а в начина, по който се прилагат.

Много организации съсредоточават усилията си върху традиционната информационна инфраструктура – компютри, сървъри и електронна поща. Хладилните инсталации, системите за достъп и сградното оборудване често остават отговорност на техническата поддръжка.

Така устройства, които могат да бъдат управлявани дистанционно и да имат пряко въздействие върху физическата среда, не получават същото внимание от специалистите по киберсигурност.

Изкуственият интелект може да увеличи риска

Развитието на изкуствения интелект може допълнително да улесни подобни атаки, предупреждават специалистите.

„Изкуственият интелект съкращава времето между откриването на уязвимост и превръщането ѝ в работеща атака“, казва Джани Куоцо, основател и изпълнителен директор на италианската компания Exein.

Според него най-сериозен риск създават устройствата, които остават в експлоатация години наред и могат да бъдат управлявани дистанционно. Сред тях са хладилни системи, промишлено оборудване, медицинска техника и части от енергийната и транспортната инфраструктура.

Производителите невинаги успяват да отстраняват слабостите със същата скорост, с която те се откриват и могат да бъдат използвани от нападателите.

Затова Куоцо смята, че устройствата трябва не само да получават редовни актуализации, но и да разполагат със собствена защита, способна да разпознава и блокира злонамерени действия.

Атаките срещу хладилните системи показват колко лесно един пробив в обикновено на пръв поглед оборудване може да доведе до реални материални щети. При болници, центрове за данни или енергийни съоръжения последиците от подобна уязвимост могат да бъдат далеч по-сериозни.