Especialistas da comunidade de segurança on-line Safety Detective encontraram vulnerabilidades em termostatos fabricados pela RDM, indústria de controles sediada na Escócia.
De acordo com um relatório publicado no página do coletivo na internet na semana passada, tais brechas podem permitir que hackers acessem esses dispositivos e alterem suas configurações de temperatura.
Os controladores fabricados pela companhia europeia são usados por organizações de vários setores, incluindo hospitais e redes de supermercados.
Uma pesquisa feita no Shodan, serviço de busca que permite encontrar qualquer dispositivo conectado à internet, revelou 7.419 instalações vulneráveis a ataques, sendo a maioria delas na Rússia, Malásia, Brasil, Reino Unido, Taiwan, Austrália, Israel, Alemanha, Holanda e Islândia.
No entanto, os dados do Shodan fornecem apenas uma visão parcial da internet. Por esse motivo, o número de freezers, refrigeradores e outros equipamentos de refrigeração comercial expostos pode ser maior e mais difícil de calcular.
Segundo a equipe do Safety Detective, os sistemas de controle conectados à internet podem ser acessados através do protocolo HTTP e da porta 9000 (ou, às vezes, 8080, 8100 ou 80), que são protegidos apenas por uma combinação padrão de nome de usuário e senha.
Em muitos casos, a interface da web pode ser acessada sem nenhuma autenticação, mas uma senha é necessária para fazer alterações na configuração.
- Justiça condena homem que hackeou sistema de refrigeração comercial
- Funcionária de supermercado morre em câmara fria
- CFT coloca à disposição sistema de atendimento on-line
“Se um usuário não autorizado obtiver acesso a um desses dispositivos de controle, ele poderá alterar as configurações do refrigerador, de usuário e do alarme”, alertou o Safety Detective.
O grupo lembrou que mudar a temperatura de geladeiras pode causar muitos problemas, especialmente para hospitais, onde os refrigeradores são usados para armazenar sangue, órgãos, vacinas e medicamentos.
“Os sistemas de controle podem ser acessados através de qualquer navegador”, disse o time de especialistas em segurança da informação.
“Tudo o que você precisa é o URL correto, que, como nossos testes mostram, não é muito difícil de encontrar. Nós não entraremos em detalhes aqui, uma vez que não é nossa intenção encorajar o hackeamento desses sistemas, o que poderia colocar, literalmente, vidas em perigo, mas tudo o que precisamos é de uma simples busca no Google”, explicou.
“Nós instruímos a secretária do nosso escritório sobre como encontrar outros dispositivos on-line, e ela rapidamente localizou uma planta frigorífica na Alemanha e um hospital no Reino Unido, usando apenas o Google”, informou.
“Usando o Shodan”, advertiu o Safety Detective, “um invasor em potencial pode identificar milhares de dispositivos”.
Resposta da RDM
O Safety Detective contatou a RDM para informá-la sobre o problema, mas, inicialmente, a indústria subestimou os relatórios do grupo.
Mais tarde, a empresa reconheceu os riscos, mas culpou os usuários e instaladores pela situação.
“As senhas padrão devem ser alteradas pelo instalador no momento da configuração inicial. A RDM não tem controle sobre onde nossos sistemas são instalados e quem os instala”, disse a companhia
“Deixamos claro em nossa documentação que as senhas padrão devem ser alteradas quando da instalação do sistema. É semelhante a um roteador comum com nomes de usuário e senhas padrão, como Admin e 1234”, respondeu um porta-voz da RDM.
“Também gostaríamos de salientar que não temos conexão com muitos dos nossos sistemas e, embora seja possível atualizar nosso software remotamente, não podemos fazê-lo sem o consentimento do proprietário. […] No fim, cabe a ele solicitar uma atualização, que pode ser feita localmente via porta USB ou remotamente pelo instalador ou gestor [do sistema de refrigeração]”, esclareceu.
Ontem (11), a RDM informou que iria avisar imediatamente todos os seus clientes, instaladores e distribuidores sobre medidas de segurança a serem tomadas, lembrando-os da importância de alterar os nomes de usuário e senhas padrão, assim outras configurações.
Conversa sobre esse post