Zamrzivači bi trebali biti najdosadniji dio trgovine. Ovog tjedna postali su sigurnosna priča. Rashladni sustavi u trgovačkim lancima diljem šest europskih zemalja prestali su ispravno raditi, a temperature u nekim zamrzivačima popele su se do 122°F (50°C), prisiljavajući trgovine da bacaju hranu. Incident je sumnjivi kibernetički napad na supermarket ske zamrzivače i ponovno je potaknuo zabrinutost zbog ranjivog zastarjelog softvera koji upravlja fizičkim svijetom.
Atribucija se još uvijek opisuje kao sumnjiva, pa je vrijedno biti pažljiv oko toga što se zna, a što ne. Ono što je jasno jest obrazac: softver koji upravlja fizičkom opremom zakazao je na način koji izgleda namjerno, a posljedice su mjerene pokvarenim zalihama, a ne ukradenim podacima.
Što se dogodilo sa zamrzivačima u supermarketima
Prema izvještajima, rashladni sustavi u trgovačkim lancima u šest zemalja prestali su se normalno ponašati. U nekim slučajevima temperature u zamrzivačima popele su se do 122°F. Trgovine su morale baciti hranu koja se više nije mogla sigurno držati za prodaju.
Izvještaji o francuskom dijelu incidenta opisuju hakere koji su preuzeli kontrolu nad softverom koji regulira rashladne jedinice i prisilili neke da se preko noći zagriju. Neka izvješća navode da je broj pogođenih francuskih jedinica u stotinama. Danfoss, proizvođač rashladne opreme, navodno je za AFP izjavio da je većina pogođene opreme "zastarjeli" proizvod koji "više ne prima softverska ili sigurnosna ažuriranja". Te brojke nismo neovisno provjerili, a istraga je očito u tijeku.
Šteta je u ovom slučaju uglavnom bila financijska i operativna: izgubljene zalihe, poremećene trgovine i osoblje koje se bavi čišćenjem. Ali ista vrsta pristupa u načelu bi mogla utjecati na bilo koji sustav koji kontrolira toplinu, hladnoću, vodu ili struju.
Zašto zastarjeli softver omogućuje kibernetički napad na supermarket ske zamrzivače
Regulatori rashlađivanja pripadaju kategoriji koja se naziva operativna tehnologija (OT). Za razliku od prijenosnog računala ili telefona, ovi su uređaji napravljeni da rade godinama uz minimalnu pažnju. Instaliraju se, spoje na mrežu kako bi ih tehničari mogli nadzirati, a zatim se uvelike zaborave.
Taj dizajn stvara nekoliko poznatih slabosti:
- Nema više ažuriranja. Kada proizvođač prestane izdavati sigurnosne zakrpe za proizvod, svaki naknadno otkriveni nedostatak ostaje trajno otvoren. Navedena Danfossova izjava izravno upućuje na ovaj problem.
- Daljinsko upravljanje po dizajnu. Centralizirani sustavi omogućuju tehničarima dijagnosticiranje problema i slanje promjena bez posjeta svakoj trgovini. Ta pogodnost također daje napadaču jedno mjesto na koje može ciljati ako je sustav dostupan s interneta ili slabo zaštićen.
- Dugi životni vijek. Oprema kupljena prije desetljeće možda još uvijek savršeno radi kao zamrzivač, dok ju je nemoguće braniti kao umreženo računalo.
- Sigurnost ispred zaštite. Ovi su sustavi često dizajnirani da rade pouzdano, a ne da se odupru odlučnom uljezu.
Ništa od ovoga nije jedinstveno za supermarkete. Bolnice, tvornice i sustavi upravljanja zgradama dijele isti kompromis između neprekidnog rada i zakrpavanja.
Što to znači za vas
Većina čitatelja ne vodi trgovački lanac, ali mnogi vode manje verzije iste postavke. Dom ili mali posao može imati usmjerivač, mrežnu kameru, pametni termostat, povezani hladnjak, NAS pogon ili terminal za prodajno mjesto. Svaki je mali računar povezan s internetom, a mnogi su kupljeni prije godina i nikada nisu ažurirani.
Lekcija iz incidenta sa zamrzivačima nije da će vaš kuhinjski aparat uskoro skuhati vašu hranu. Lekcija je da su uređaji izloženi internetu sa zastarjelim softverom realan put u mrežu i da učinak može nadilaziti podatke i zahvatiti fizičke operacije. Za mali kafić, restoran ili trgovinu s komorom za zamrzavanje na usluzi daljinskog nadzora, scenarij nije nategnut. Pokvarene zalihe bole mali posao daleko više od velikog lanca.
Vaš usmjerivač je ovdje najvažniji. On je vrata za svaki drugi uređaj. Ako je star, nezakrpan ili se njime upravlja zadanom lozinkom, sve iza njega nasljeđuje taj rizik.
Kako zaštititi povezane uređaje i usmjerivače
Ne trebate specijalističke alate da smanjite svoju izloženost. Kratka revizija ide daleko:
- Popišite što je povezano. Provjerite popis uređaja na usmjerivaču i zabilježite sve što ne prepoznajete ili više ne koristite. Isključite ono što vam ne treba.
- Ažurirajte firmware. Instalirajte najnovija ažuriranja na usmjerivač i svaki povezani uređaj. Uključite automatska ažuriranja gdje su ponuđena.
- Provjerite status kraja životnog ciklusa. Provjerite podržava li proizvođač još uvijek svaki uređaj. Ako proizvod više ne prima sigurnosna ažuriranja, planirajte ga zamijeniti ili ga barem izolirati.
- Promijenite zadane vjerodajnice. Zamijenite tvornička korisnička imena i lozinke jedinstvenima i jakima te koristite upravitelj lozinki za praćenje.
- Isključite daljinski pristup koji ne koristite. Onemogućite daljinsku administraciju, prosljeđivanje portova i UPnP na usmjerivaču osim ako imate poseban razlog da ih zadržite.
- Segmentirajte svoju mrežu. Stavite pametne uređaje, kamere i opremu na gostujuću ili zasebnu mrežu odvojenu od prijenosnih računala i poslovnih datoteka. Ako je jedan uređaj kompromitiran, šteta ostaje ograničena.
- Za male poslove, postavite dobavljačima izravna pitanja. Ako dobavljač daljinski upravlja vašim rashladnim ili drugim sustavom, pitajte kako je pristup zaštićen, tko se može prijaviti i je li hardver još uvijek podržan.
Ključni zaključak
Kibernetički napad na supermarket ske zamrzivače živo je podsjećanje da zastarjeli softver ne ostaje problem samo u pozadinskim uredima. Kada su stari, nezakrpani sustavi dostupni s interneta, napad se može pretvoriti u rastopljene zalihe i prazne police. Isti principi vrijede kod kuće i u maloj trgovini: znajte što je povezano, održavajte to ažurnim, umirovite ono što se više ne može zakrpati i odvojite rizične uređaje od ostatka svoje mreže. Odvojite sat vremena ovaj tjedan za reviziju usmjerivača i povezanih uređaja. To je mali zadatak u usporedbi s cijenom bacanja punog zamrzivača hrane ili još gore.
