Sajbernapadi na rashladne sisteme u supermarketima poslednjih dana izazivaju ozbiljne poremećaje i finansijske gubitke širom Evrope. Nakon sličnih incidenata u Francuskoj, novi talas napada pogodio je trgovinske lance u više evropskih zemalja. Napadači su u pojedinim slučajevima daljinski menjali temperature u frižiderima i zamrzivačima, zbog čega su uništene velike količine hrane, a trgovci pretrpeli milionske gubitke.
Ovi incidenti ukazuju na to da sajberbezbednosni rizici odavno nisu ograničeni samo na računare, digitalne podatke i poslovne sisteme. Kada je fizička oprema povezana sa internetom i može da se kontroliše na daljinu, njena ranjivost može direktno da ugrozi svakodnevno poslovanje, robu i čitave lance snabdevanja.
Prema rečima Vladimira Daščenka, glavnog istraživača za bezbednost u kompaniji Kaspersky, savremeni rashladni sistemi predstavljaju primer sajber-fizičkih sistema čija zaštita često ne prati tehnološke mogućnosti.
„Savremeni rashladni sistemi predstavljaju tipičan primer sajber-fizičkih sistema. To znači da se mogu nadzirati i kontrolisati na daljinu, dok njihov nivo bezbednosti često ostaje nedovoljan. U pojedinim slučajevima proizvođači ne primenjuju ni osnovne zaštitne mere, kao što su obavezna primena politike lozinki, dvofaktorska autentifikacija i druge standardne bezbednosne kontrole. Pored toga, kod ovih proizvoda često postoje slabe tačke bezbednoti i tokom razvoja softvera i procesa SSDLC (Security Software Development Life Cycle – životni ciklus razvoja bezbednog softvera).“
Uređaji dostupni na internetu mogu postati laka meta
Jedan od ključnih problema je i to što ovakvi sistemi često nisu adekvatno izolovani od interneta. Njihovi kontrolni paneli mogu se pronaći pomoću specijalizovanih pretraživača koji indeksiraju uređaje dostupne na mreži, što potencijalnim napadačima olakšava pronalaženje nezaštićene opreme.
„Ovakvi sajber-fizički sistemi takođe su često izloženi internetu, umesto da budu na odgovarajući način izolovani od njega. Kontrolni paneli rashladnih sistema, na primer, mogu se identifikovati putem pretraživača kao što su Shodan i Censys, koji indeksiraju uređaje dostupne preko interneta. U praksi to znači da, ukoliko je uređaj javno dostupan i nebezbedno konfigurisan, mogu da ga pronađu i administratori i akteri koji predstavljaju pretnju. To značajno povećava rizik od neovlašćenog pristupa, iskorišćavanja poznatih ranjivosti i naknadnog ometanja rada opreme.“
Dodatni problem predstavlja činjenica da su informacije o ranjivostima ovakvih sistema već neko vreme dostupne javnosti. To znači da napadači ne moraju nužno da razvijaju potpuno nove metode, već mogu da iskoriste već poznate bezbednosne propuste.
„Informacije o načinu na koji se daljinski omogućuje proizvoljno izvršavanje koda na sličnim kontrolnim panelima rashladnih sistema pojavile su se u javno dostupnim izvorima pre nekog vremena. U pojedinim slučajevima, proizvođačima nedostaje mehanizam kojim bi mogli da osiguraju instalaciju kritičnih ažuriranja, što predstavlja realističan vektor za ovu vrstu sajber-napada.“
Bezbednost mora da bude deo razvoja opreme
Problem, dakle, nije samo u tome kako se uređaji koriste, već i u tome koliko su bezbedni već u trenutku kada stignu do kupaca. Stručnjaci zato ukazuju na odgovornost proizvođača, ali i kompanija koje nabavljaju i koriste ovu vrstu opreme.
„Proizvođačima se preporučuje da bezbednosne zahteve ugrade već u fazi projektovanja i da ih primenjuju tokom čitavog procesa razvoja: da izbegavaju direktno izlaganje uređaja internetu, uvedu snažne mehanizme autentifikacije i obezbede pravovremenu instalaciju kritičnih ažuriranja. Kupci i organizacije koje nabavljaju ovu vrstu opreme takođe bi trebalo da obrate pažnju na sajberbezbednosne prakse dobavljača, uključujući upravljanje bezbednosnim zakrpama i zaštitu daljinskog pristupa.“
Napadi na rashladne sisteme pokazuju koliko digitalizacija menja prirodu poslovnih rizika. U maloprodaji, gde pravilno skladištenje robe direktno utiče na kvalitet proizvoda, bezbednost potrošača i finansijske rezultate, zaštita povezanih uređaja postaje jednako važna kao i zaštita poslovnih mreža i podataka.
