ליקוי בתוכנת בקרת מקררים מסכן מאגרי תרופות ברחבי העולם

פרצת אבטחה חמורה במערכת בקרת מקררים תעשייתיים מסכנת עסקים בארץ ובעולם; תוקפי סייבר יכולים לשנות דרכה הגדרות פעולה ולכבות מערכי קירור בבתי חולים, סופרמרקטים ועסקים שונים - כך סיפרו לכלכליסט ההאקרים נעם רותם ורן ל'. השניים חשפו את הליקוי במסגרת מחקר שביצעו ביחד עם חשפו את הליקוי, ביחד עם Safety Detective, אתר מידע בינלאומי בתחום אבטחת המידע. 

המערכת הפרוצה מיוצרת בידי חברת Resource Data Management, והיא נמצאת בשימוש חברות רבות מבריטניה, אוסטרליה, גרמניה, הולנד, מלזיה, איסלנד, ישראל ועוד. בין המותגים שעושים בה שימוש נמנים מרקס אנד ספנסר, Ocado ו-Way-On. כל מערכת מאפשרת לשלוט בעשרות רבות של מקררים, כאשר להערכת החוקרים, קיימים אלפי מקררים שחשופים לפריצה. היצרנית עודכנה בפרטי הליקוי קודם לפרסום.

מערכת קירור שנפרצה בישראל צילום: צילום מסך

"ניתן לגשת למערכות דרך כל דפדפן", נכתב בהודעה שפרסם Safety Detective. "כל מה שצריך זה את ה-URL הנכון, דבר לא קשה במיוחד לפי הבדיקות שלנו. לא נפרט זאת כאן, כי אנחנו לא רוצים לעודד פריצות שיכולות להוביל לסיכון חיים, אבל כל מה שדרוש זה חיפוש פשוט בגוגל. הסברנו למזכירה שלנו איך למצוא מכשירים, ומהר מאוד היא מצאה מפעל קירור בגרמניה ובית חולים בבריטניה באמצעות גוגל בלבד".

מימין: המערכות החשופות במאגר Shodan, מערך קירור פרוץ בבית חולים בריטי צילום: צילום מסך

ההשלכות של פריצה אפשרית חמורות, ויכולות לכלול לא רק הרס רחב היקף של מוצרי מזון שונים, אלא גם הרס נרחב של תרופות שמאוחסנות במקררים בבית חולים, מה שעלול לסכן חיי אדם. "כשמדברים על מלחמת סייבר - לזה בדיוק מתכוונים, השפעה אמיתית על תשתיות במדינה המותקפת", אמר רותם לכלכליסט. "פגיעה באספקת המזון בסופרמרקטים היא בדיוק מסוג הדברים עליהם מדברים בהקשר הזה. על המדינה לקחת אחריות גם על התשתיות האזרחיות שבסופו של דבר משרתות את האזרחים, ולא להשאיר את ההגנה עליהן בידי גופים מסחריים שלא באמת מבינים באבטחת מערכות, ולא תמיד רוצים להשקיע את כל מה שצריך בהגנה עליהן".

Safety Detective פנו ל-Resource Data Management עם הממצאים המלאים, כולל תיאור מפורט, הסברים וצילומי מסך. ואולם, במקום להודות לחוקרים על הממצאים או אפילו למסור תגובה לקונית שלפיה הפרצה בטיפול, נמסר להם מהחברה: "תודה לכם על פנייתכם. אחרי שבחנו את שירותיכם, הם לא מעניינים את החברה שלנו. כחברת צוות בכירה בחברה שלנו אני מבקשת ממך להימנע מליצור אתנו קשר נוסף, דרך חשבונות אימיילים אישיים או כלליים. מאוד נעריך את זה אם תוכלו להמנע מלתייק אותנו בפוסטים במדיה חברתית. תודה על שיתוף הפעולה".

ל-TechCrunch נמסר בתגובה: "אנחנו אומרים ברור במסמכים למשתמש שצריך לשנות את סיסמת ברירת המחדל אחרי התקנת המערכת. אין לנו שליטה על איך מתקינים את המערכות שלנו, ואנחנו מציעים להפנות את המאמר למשתמשים ולתקיני הציוד. נודיע לבעלים שיש לנו תכונה חדשה עם יכולות ותכונות חדשות, אבל זו החלטה שלהם לבקש שדרוג. נפנה לכל הלקוחות הידועים ונודיע להם על חשיבות שינוי סיסמת ברירת המחדל".