Dziurawe przemysłowe IT

Systemami IT do kontroli procesów przemysłowych zainteresowaliśmy się szerzej przed kilku laty, gdy robak Stuxnet - uważany wówczas za najbardziej zaawansowany szkodliwy kod w historii - zaatakował irańskie instalacje atomowe. Od tamtego czasu odkryto kilka innych niezwykle zaawansowanych ataków na wspomniane systemy. Jednak zapewne kontekst polityczny tych ataków sprawił, że generalnie czujemy się bezpieczni. To błąd.

Podczas zakończonej właśnie hakerskiej konferencji Black Hat zaprezentowano trzy ataki na systemy kontroli przemysłowej, które nie tylko mogą wyrządzić fizyczne szkody, ale ucierpieć na nich mogą zwykłe firmy i osoby postronne.

Podczas pierwszej demonstracji uczestnicy Black Hat przekonali się, jak fatalnie może skończyć się atak na sieć komputerową przedsiębiorstwa wodociągowego i doprowadzenie przez hakerów do nagłego wzrostu ciśnienia wody. Autorzy drugiego z wykładów przedstawili metodę ataku na czujniki temperatury i ciśnienia w rurociągach naftowych i innych urządzeniach przemysłowych. Zafałszowanie ich odczytów może skłonić operatorów takich instalacji do podjęcia tragicznych w skutkach działań. Z kolei podczas trzeciej demonstracji zaprezentowane zostały dziury w 50 milionach bezprzewodowych liczników prądu używanych w całej Europie. Przestępca może wykorzystać te luki do sprawdzenia naszego zużycia energii, a zatem przekonania się, kiedy firma pracuje, kiedy jesteśmy w domu, a nawet - co niewykluczone - doprowadzić do przerw w dostawach energii.

Przygotowanie Stuxneta czy tym podobnych ataków wymagało gigantycznych nakładów, na taki atak mogły pozwolić sobie tylko rządy i wielkie organizacje. Tymczasem zaatakowanie ropociągów czy liczników prądu jest znacznie łatwiejsze i tańsze.

Z wcześniejszych badań wiadomo, że co najmniej 90 000 urządzeń wykorzystywanych w systemach kontroli przemysłowej jest dostępnych w publicznej sieci i zawiera luki, które czynią je podatnymi na atak.

Niestety, poprawienie pracy wielu urządzeń wymaga sporych inwestycji i niejednokrotnie wiąże się z ryzykiem. Firmy nie są zobowiązane do stosowania zabezpieczeń, a systemy kontroli przemysłowej powstawały w czasach, gdy ich ochrona przed atakami z zewnątrz nie była priorytetem. Dlatego też jeszcze przez długie lata mogą stanowić łatwy cel dla cyberprzestępców.

źródło: Technology Review