Коли замість ведмежатників в наші будинки полізуть хакери?

Експерти вважають, що зламати доступ до будівлі, яка напхана електронікою, зараз надзвичайно просто.

У 2013 році корпорація Google зазнала незвичайного комп'ютерного злому.

Незвичність полягає в тому, що зламаний був не пошуковий сайт корпорації, її рекламна платформа, і навіть не її соціальна мережа Google+. Зламано було одну з будівель, що належать Google.

Два експерти в області кібербезпеки зуміли проникнути в комп'ютерну систему, що управляє будинком Wharf 7 в австралійському Сіднеї.

Один з них, Біллі Ріос, розповідає, що йому вдалося виявити уразливості в пошуковику Shodan, що становить перелік всіх пристроїв, підключених до інтернету. Потім він проаналізував дані з допомогою власної програми, щоб встановити, кому належить будівля.

В даному випадку експерти, знайшовши власника офісу, відразу Google повідомили про факт злому і про знайдені ними вразливі місця в комп'ютерній системі управління будівлею.

Як розповідає Ріос, який володіє компанією Whitescope, у світі в даний час є близько 50 тисяч будинків, підключених до інтернету, в тому числі - наукові центри, церкви та лікарні. Дві тисячі комп'ютерних систем цих будівель не захищені навіть паролем.

"Мова йде про дві тисячі будинків, до яких ви можете легко отримати доступ, наприклад, до систем контролю температури, а потенційно - і до систем дверних замків", - розповідає Ріос.

Такі комп'ютеризовані будівлі зазвичай мають підсистеми, які контролюють опалення, освітлення та відеоспостереження. Вони передають відповідні дані з корпоративної мережі через інтернет.

Ендрю Келлі, головний консультант оборонної компанії QinetiQ, вказує, що такі системи є досить ефективними у зниженні витрат на експлуатацію споруд.

"Тільки на скороченні витрат на обігрів приміщення можна знизити витрати на 20-50%", - говорить він.

Але такі системи роблять будівлі і більш уразливими. Є різні сценарії можливого розвитку подій у випадку злому систем управління.

Можна уявити собі, що станеться з мешканцями будинку престарілих, якщо зловмисники взимку виведуть з ладу систему опалення.

Або ж уявіть собі становище в лікарні, де хакери зламують систему освітлення.

Ще простіше уявити грабіжників, які відключають систему відеоспостереження в будинку, який вони вирішили пограбувати.

У 2013 році міністерство внутрішньої безпеки США повідомило, що хакери отримали доступ до системи управління опаленням в одному з його будівель, і в буквальному сенсі дали жару його співробітникам, підвищивши температуру повітря в офісі.

А в 2014 році консультант у сфері комп'ютерної безпеки Хесус Моліна повідомив на профільній конференції про те, що він зумів отримати доступ до комп'ютерних систем у 200 номерах одному з готелів міста Шэньжэнь в Китаї.

Хакерська атака на відому мережу американських магазинів Target, в результаті якої були викрадені дані про кредитні картки мільйонів користувачів, стала можливою завдяки уразливості її систем управління опалюванням і вентиляцією.

На початку цього року злому зазнала система управління електростанцією на Україні, коли майже 80 тисяч людей залишилися без електрики.

Правда, в даному випадку злом був проведений методом "фішингу", тобто обману людини, що мала доступ до системи і відкрила на своєму комп'ютері заражене шкідливою програмою електронне повідомлення.

Ми знаємо про випадки злому комп'ютерів зловмисниками, які кодують доступ до них і вимагають від компаній викупу для надання коду доступу. Дуже просто уявити собі подібну атаку на систему управління будівлею, коли завод або лікарня стають некерованими, а хакери вимагають викупу.

Нещодавно Келлі провів обстеження ряду комп'ютеризованих будівель самого різного розміру - від невеликих офісів до гігантських комплексів, де працюють тисячі людей.

"У всіх випадках, без жодного винятку, системи управління цими будинками були спроектовані без урахування міркувань безпеки. Ми бачили системи, в який використовувався пароль за умовчанням, який дуже просто зламати", - стверджує він. Келлі рекомендує відмовитися від використання корпоративних мереж такими системами, оскільки забезпечити надійність коду в таких системах практично неможливо.

У разі злому будівлі, що належить корпорації Google, експеримент, проведений експертами, показав, що навіть самі просунуті в технічному сенсі комп'ютерні компанії можуть легко стати жертвами вразливості систем, керуючих будинками.

Біллі Ріос у своїй доповіді наводить приклад футбольного стадіону в штаті Алабама, який має зовсім незахищену систему управління, що дозволяє зловмисникам не тільки управляти освітленням стадіону, але навіть змінювати показання інформаційного табло.

"Уявіть, що станеться, якщо який-небудь уболівальник зможе, сидячи у себе вдома на дивані, міняти рахунок матчу на такому табло", - зауважує він.