Süpermarket Buzdolapları Siber Saldırılara Karşı Güvensiz

Erman Gunes/Shutterstock

A finales de octubre alguien manipuló las neveras y congeladores de diferentes supermercados en Francia y Países Bajos para alterar la cadena de frío y estropear los alimentos perecederos que almacenaban. En los primeros días de noviembre han tenido lugar incidentes parecidos en tiendas y cadenas en Bélgica, Luxemburgo, Suecia, Finlandia, Irlanda, Estonia, Italia, Alemania y Portugal.

Obviamente, la reacción inmediata tras todos estos incidentes ha consistido en retirar de la venta los productos refrigerados y congelados, desechar las existencias en mal estado, restablecer los sistemas de refrigeración y reponer todos los alimentos que se han echado a perder.

Lo que hay detrás de ese incidente masivo son ciberataques. Por norma general, cuando pensamos en este tipo de acciones nos imaginamos a atacantes que acceden a nuestros datos personales sin permiso (como nuestro número de teléfono o nuestro número de cuenta bancaria), o que nos impiden entrar en la página web del banco. Nos acordamos con menos frecuencia de los ataques que afectan a sistemas ciberfísicos o a sistemas OT (Operational Technology, por sus siglas en inglés). Es decir, a sistemas en los que procesadores, sensores, actuadores y redes están estrechamente vinculados a elementos físicos (como un frigorífico), de modo que se pueda observar el mundo real y modificarlo o controlarlo directamente.

Estos sistemas se encuentran casi siempre en fábricas, edificios o grandes infraestructuras como aeropuertos, centrales nucleares o presas. Los ataques que los afectan tienen consecuencias que se observan directamente en el mundo real. Y esto es lo que está ocurriendo en las últimas semanas en diferentes cadenas de supermercados europeas como Carrefour, Spar, ICA, Coop, Delhaize o SuperValu.

Neveras y congeladores conectados a Internet

Birincil soru şudur: Bu tür işletmelerdeki buzdolapları ve dondurucular gerçekten de internete bağlı mı? Ve cevap evet. Modern market soğuk zincirleri, ya izole biçimde ya da dükkanın diğer sistemlerinin yönetimiyle entegre şekilde, ağa bağlı soğutma kontrolcileri kullanır. Bu, personelin sıcaklığı izlemesini, ayarları düzenlemesini, bir şey yolundan çıktığında uyarıları alıp doğrulamasını ve gerekli görüldüğünde ekipmanların ayarlarını uzaktan yapmasını sağlar.

Son yıllardaki siber saldırılara bakıldığında, bunun izole bir olay olmadığı görülür. Geçmişte dış saldırrganlar, içme suyu arıtma tesisleri veya petrol sondajı (buz paten pistlerinde bile) fabrikalarında vanalar veya mekanik elemanlar, elektronik kilitler, video izleme kameraları, asansor kontrolcileri, tarımsal sulama veya kentsel kaynak kontrol sistemleri, trafik işaretleri veya araç park alanlarıyla ilişkili teknoloji gibi unsurlara internet üzerinden erişmiştir.

Nasıl olabiliri?

Risk, yalnızca güvenli bir güncelleme veya izleme kanalının değil, aynı zamanda her türlü görevin uzaktan yapılabilmesini sağlayan tam bir yönetim arayüzünün de internete açıldığı anda ortaya çıkar. Bir cihaz fiziksel bir işlem gerçekleştirebiliyorsa (ısıtma, soğutma, kilidi açma, dozaj verme, pompayla sıkma veya bir elemanı çalıştırma-durdurma), mümkün olduğunca doğrudan internete açık değil, aksine çok daha korumalı ve dışarıdan erişimi daha zor olan iç ağlara bağlanması sağlanmalıdır. Buna ağ segmentasyonu denir ve büyük bir bilgisayır ağını daha iyi trafik kontrolü ve güvenlik artırımı için daha küçük, bağımsız alt ağlara veya bölgelere ayırmayı içerir.

Si no queda más remedio que disponer de una interfaz web o panel de acceso remoto en la nube, en internet, debe estar protegido. Aunque no se han publicado todavía análisis forenses detallados y definitivos de los incidentes de los últimos días, si nos guiamos por lo que ocurre habitualmente, se deberán, con mucha probabilidad, a dos tipos de causas.

La primera de ellas tiene que ver con una pobre gestión de identidades y accesos. ¿Quién debería estar autorizado para acceder a una interfaz de gestión completa de las neveras? Pocas personas, que además tienen que poder identificarse, demostrar que son quienes dicen ser y que tienen los permisos adecuados para hacer lo que solicitan cada vez que se conectan.

Si cuando se conectan las neveras en los supermercados nadie cae en la cuenta de que están exponiendo una interfaz de gestión completa a internet y se dejan estos paneles con un usuario y contraseña por defecto (por ejemplo, los clásicos ADMIN y 1234), cualquiera que encuentre estos interfaces podrá entrar en ellos y hacer lo que quiera; por ejemplo, poner el refrigerador en modo “descongelar” o subir la temperatura a 50º C.

Otra opción es que no se haya habilitado el doble factor de autenticación y se haya fiado toda la seguridad a una contraseña. Que puede no ser 1234, pero sí ser débil (fácil de adivinar o de “romper por fuerza bruta”). O tal vez se haya visto expuesta en una brecha de datos.

Puertas de entrada descuidadas

La segunda posibilidad, más allá de contraseñas y accesos, tiene que ver con una pobre gestión del firmware. Es decir, del software que viene preinstalado de fábrica que se encarga de funciones básicas como el arranque o la interacción con el sistema operativo. En muchos casos se van descubriendo vulnerabilidades en él, que los atacantes aprenden a explotar para conseguir sus objetivos.

Kimse bu firmware‘i olası giriş kapılarını “demirlemek” için güncellemek veya yamalamaya dikkat etmiyorsa ya da bunu yapmanın soğutma cihazlarını kapatmayı gerektirmesi nedeniyle maliyetli olması ve bunun için uygun bir zamanın hiç olmaması, saldırganlar işi oldukça kolaylaştırıyor. Üstelik günümüzde tüm bu saldırgan görevlerde yapay zekânın desteğiyle.

Bu tür ciberatakların ardındaki hedef

Süpermarketlerin soğutma cihazlarına neden saldırilıyor? Henüz bu saldırıların sorumluluğunu üstlenen herhangi bir grup bulunmuyor. Arkasında özel çıkarlar, rehin istemeye isteyen ya da rekabete güveni zayıflatmak için kirılan mafiyalar olabilir. Ancak ülkeleri ve farklı zincirleri etkileyecek kadar yaygın olan bu saldırılar, birinin temel operasyonları, vatandaşların günlük hayatını etkileyecek biçimde bozmaya, stokları yok etmeye, ekonomik kayıplara yol açmaya ve gıda tedarikine dair güveni sarsmaya çalıştığı şüphesini doğuruyor.

Çeşitli raporlar ve açıklamalar, devlet destekli hibrid saldırı ihtimaline dair endişe dile getirdi.

Süpermarketler bundan sonra ne yapmalı? Öncelikle yaşananlardan ders alıp derinlemesine savunma ilkelerini uygulamak: segmente edilmiş ağlar, varsayılan parola kullanmamak, çift faktörlü kimlik doğrulama, firmware güncellemesi vb.; en az ayrıcalık (personelin her üyesinin yalnızca işini yapması için gerekli olanlara erişebilmesi); en küçük açıklık yüzeyi (internetten yalnızca bu erişimin kesinlikle gerekli olduğu öğelerin erişilebilir bırakılması).

Bunu yapabilmesi için önce neyin bağlı olduğunu, hangi tehditlerle karşı karşıya olduğunu ve bunların gerçekleşmesi halinde hangi etkileri doğuracağını bilmeye başlaması gerekiyor. Kanıtlar elinde, sezgilere dayanmadan.