Ekspert: hakerzy mogą zaatakować chłodnie z krwią, żywnością, a nawet serwerownie (wywiad)

PAP: Hakerzy atakują lodówki. Brzmi to trochę jak scenariusz komedii, ale chyba nie ma się z czego śmiać. Kto i po co miałby włamywać się do systemów chłodniczych?

Krzysztof Smaga, inżynier, trener i ekspert w dziedzinie cyberbezpieczeństwa: Rzeczywiście brzmi to zabawnie, dopóki nie uświadomimy sobie, jakie mogą być konsekwencje. Według analiz za ostatnimi atakami na infrastrukturę chłodniczą stoją prawdopodobnie dwie grupy hackerskie powiązane z Rosją.

Takich operacji nie przeprowadza się dla zabawy. Wymagają ludzi, czasu, odpowiedniego sprzętu i przygotowania. Chodzi przede wszystkim o demonstrację siły, pokazanie, że można zaatakować infrastrukturę przeciwnika i zakłócić jej funkcjonowanie. To również sygnał: jeżeli podłączacie urządzenia do internetu, a nie potraficie ich zabezpieczyć, możemy to wykorzystać.

PAP: Ale dlaczego akurat chłodnictwo? Hakerzy nie mają bardziej interesujących celów?

K.S.: Żyjemy w czasach internetu rzeczy. Do sieci podłączamy już niemal wszystko: lampy, odkurzacze, kamery, urządzenia przemysłowe. Systemy chłodnicze również są coraz częściej zdalnie monitorowane i sterowane. A każde urządzenie podłączone do sieci może stać się potencjalnym celem ataku.

Proszę sobie wyobrazić, że ktoś uzyskuje dostęp do systemu sterującego chłodziarkami, w których przechowywana jest krew przeznaczona do transfuzji. To już nie jest kwestia zepsutego urządzenia czy strat finansowych. To potencjalne zagrożenie dla ludzkiego życia.

PAP: Były już doniesienia o atakach na chłodziarki z krwią. Co mogłoby się wydarzyć, gdyby hakerzy skutecznie zakłócili pracę takich urządzeń?

K.S.: Krew przeznaczona do przetoczeń musi być przechowywana w ściśle określonych warunkach. Jeżeli zostaną one naruszone, zapasy mogą nie nadawać się do wykorzystania.

Nie możemy po prostu wyprodukować dowolnej ilości krwi, żeby zastąpić tę utraconą. W transfuzjach jesteśmy uzależnieni od krwiodawców. Tymczasem krew jest niezbędna podczas wielu operacji, przy leczeniu ciężkich urazów czy w nagłych stanach zagrożenia życia.

Atak na system chłodniczy banku krwi mógłby więc doprowadzić do sytuacji, w której szpital nie dysponuje odpowiednią ilością krwi potrzebnej do ratowania pacjentów, nie może przeprowadzać zabiegów operacyjnych. Dlatego takie urządzenia powinny być traktowane jako szczególnie wrażliwy element infrastruktury medycznej.

PAP: Psucie się żywności też nie jest mało dolegliwe. Czy hakerzy mogliby w ten sposób zakłócić łańcuchy dostaw i doprowadzić do braków w sklepach?

K.S.: Jak najbardziej. Jeśli ktoś zaatakuje pojedynczą chłodnię w sklepie, konsument może kupić potrzebne produkty gdzie indziej. Problem zaczyna się wtedy, gdy celem staje się duże centrum chłodnicze obsługujące wiele placówek.

Takie systemy są często monitorowane zdalnie przez centralę przedsiębiorstwa. Jeżeli atak doprowadzi do nieprawidłowej pracy urządzeń i zepsucia przechowywanej żywności, straty mogą dotyczyć całej sieci dystrybucji.

Wtedy nie wystarczy pójść do sąsiedniego marketu, bo on również może być zaopatrywany przez to samo centrum logistyczne. Skutki cyberataku mogą więc wykraczać daleko poza jedną firmę.

PAP: A serwerownie? Przecież banki, urzędy i wielkie firmy technologiczne korzystają z centrów danych, które również wymagają intensywnego chłodzenia. Czy wyłączenie klimatyzacji mogłoby sparaliżować ich działalność?

K.S.: Nie przypominam sobie z ostatniego okresu takiego ataku, ale technicznie jest on możliwy.

W dużych centrach danych pracują tysiące urządzeń, które wytwarzają ogromne ilości ciepła. Systemy klimatyzacji zapewniają im odpowiednie warunki. Chłodne powietrze jest kierowane do serwerów, odbiera od nich ciepło, a następnie wraca do układu chłodzenia.

Jeżeli ten proces zostanie przerwany, temperatura zacznie rosnąć. Najpierw urządzenia uruchomią wentylatory z większą mocą, próbując się schłodzić. Jeśli to nie wystarczy, powinny zadziałać zabezpieczenia termiczne i sprzęt się wyłączy.

W skrajnym przypadku, gdyby temperatura rosła bardzo szybko, a zabezpieczenia nie zadziałały na czas, mogłoby dojść nawet do uszkodzenia podzespołów.

PAP: Czyli haker, który wyłączy klimatyzację, może pośrednio wyłączyć usługi cyfrowe?

K.S.: Tak. Nie oznacza to automatycznie paraliżu całego państwa, ale klienci korzystający z usług danego centrum danych mogliby utracić do nich dostęp. Jeśli przedsiębiorstwo przechowuje tam swoje systemy albo wynajmuje moc obliczeniową, przerwa w działaniu serwerów oznacza również przerwę w dostępności tych usług.

To pokazuje, że cyberbezpieczeństwo nie dotyczy wyłącznie komputerów i oprogramowania. Czasami wystarczy zakłócić działanie urządzeń technicznych, od których komputery są uzależnione.

PAP: Jak właściwie haker „wchodzi” do lodówki albo przemysłowego agregatu?

K.S.: Dróg jest kilka. Pierwsza to klasyczny phishing, czyli wykorzystanie socjotechniki do zdobycia danych dostępowych. Przestępca może nakłonić pracownika do ujawnienia hasła albo wykonania czynności, która umożliwi mu dostęp do systemu.

Drugi problem dotyczy samych urządzeń. Producenci sprzętu przemysłowego i urządzeń internetu rzeczy nie zawsze zapewniają regularne aktualizacje oprogramowania. Zdarza się, że aktualizacje pojawiają się bardzo rzadko albo nie ma ich wcale.

Jeśli w takim urządzeniu zostanie wykryta luka bezpieczeństwa, może ona pozostawać nieusunięta przez długi czas. Cyberprzestępcy wyszukują takie podatności i próbują je wykorzystywać.

PAP: To może najbezpieczniej byłoby odłączyć wszystkie te urządzenia od internetu?

K.S.: Niekoniecznie. Zdalny dostęp bywa potrzebny, chociażby do monitorowania pracy urządzeń w różnych oddziałach przedsiębiorstwa czy instalowania aktualizacji.

Nie oznacza to jednak, że agregat chłodniczy musi być bezpośrednio dostępny z internetu. Można zastosować odpowiednio zabezpieczone, szyfrowane połączenia, na przykład VPN, i ograniczyć dostęp do urządzenia wyłącznie do uprawnionych osób i systemów.

Chodzi o to, żeby zachować korzyści wynikające ze zdalnego zarządzania, ale nie pozostawiać urządzeń niepotrzebnie wystawionych na ataki z zewnątrz.

PAP: Załóżmy, że jestem kierowniczką supermarketu. Skąd mam wiedzieć, że moja chłodnia padła ofiarą cyberataku, a nie zwyczajnie się zepsuła? Przecież haker nie musi jej od razu wyłączać. Może podnosić temperaturę stopniowo, o jeden czy dwa stopnie.

K.S.: I właśnie dlatego rozpoznanie takiego ataku może być bardzo trudne. Dla osoby, która nie zajmuje się cyberbezpieczeństwem, nieprawidłowa praca chłodni będzie wyglądała jak zwykła awaria.

Temperatura zaczyna rosnąć, więc pracownik podejrzewa usterkę. Wyłącza urządzenie, czeka, aż ostygnie, uruchamia je ponownie. Przez chwilę wszystko działa, a później problem powraca.

Taki pracownik może nawet nie wiedzieć, że urządzenie jest podłączone do sieci i ktoś z zewnątrz mógł uzyskać do niego dostęp. Dlatego tak ważne jest, żeby przedsiębiorstwo miało odpowiednie procedury reagowania na nietypowe zachowanie urządzeń.

PAP: Proszę wybaczyć żart, ale może te ataki uratują rynek pracy informatyków. Niedługo każdy supermarket będzie musiał zatrudnić specjalistę, żeby pilnował mu lodówek.

K.S.: Nie wiem, czy każdy supermarket, ale zapotrzebowanie na specjalistów cyberbezpieczeństwa z pewnością nie zniknie.

Na rynku pracy obserwujemy zmiany związane z rozwojem sztucznej inteligencji, które dotykają między innymi programistów. Natomiast specjaliści od bezpieczeństwa byli potrzebni, są potrzebni i będą potrzebni.

Dopóki istnieje internet, będą pojawiały się nowe zagrożenia. My będziemy rozwijać zabezpieczenia, a przestępcy będą szukać kolejnych podatności. To nieustanny proces. Dlatego osoby, które zdobędą solidne kompetencje w dziedzinie cyberbezpieczeństwa, mogą liczyć na zapotrzebowanie na swoją pracę.

PAP: Jak ocenia pan odporność polskich przedsiębiorstw i instytucji na tego rodzaju ataki? Jesteśmy przygotowani czy dopiero zaczynamy rozumieć zagrożenie?

K.S.: Nie ma jednej odpowiedzi. Wszystko zależy od świadomości zagrożeń w konkretnej organizacji.

Znam instytucje, w których cyberbezpieczeństwo traktowane jest bardzo poważnie. Zarówno pracownicy działów IT, jak i kadra kierownicza rozumieją ryzyko. Są odpowiednie zabezpieczenia techniczne, procedury, plany działania na wypadek incydentu, a pracownicy regularnie uczestniczą w szkoleniach.

Jest też druga strona medalu. W wielu miejscach nadal dominuje przekonanie, że cyberbezpieczeństwo to wyłącznie koszt. Skoro nie przynosi bezpośredniego zysku, uznaje się je za niepotrzebny wydatek.

Problem w tym, że skutki poważnego incydentu mogą być znacznie droższe niż zabezpieczenia, na których wcześniej oszczędzano.

PAP: Gdyby miał pan dać trzy rady menedżerowi odpowiedzialnemu za dużą chłodnię, co powinien zrobić, żeby móc spokojnie spać?

K.S.: W cyberbezpieczeństwie nigdy nie można spać całkowicie spokojnie, ale można znacząco ograniczyć ryzyko.

Po pierwsze, segmentacja sieci. Urządzenia chłodnicze powinny funkcjonować w wydzielonej części infrastruktury informatycznej, oddzielonej od komputerów pracowników, serwerów i innych urządzeń. Należy też odpowiednio zabezpieczyć połączenia zdalne.

Po drugie, trzeba mieć plan działania na wypadek incydentu. W branży używamy pojęć Business Continuity Plan, czyli plan ciągłości działania, oraz Disaster Recovery, czyli plan przywracania systemów po awarii lub ataku. Przedsiębiorstwo musi wiedzieć, jak funkcjonować w sytuacji kryzysowej i które urządzenia należy uruchomić w pierwszej kolejności.

Jeżeli działalność firmy opiera się na systemach chłodniczych, ich przywrócenie będzie priorytetem.

Po trzecie, regularne szkolenia pracowników. Można kupić najlepszy sprzęt, ale jeśli ludzie nie wiedzą, jak rozpoznawać zagrożenia i reagować na incydenty, nawet kosztowne zabezpieczenia mogą okazać się niewystarczające.

PAP: Czy unijna dyrektywa NIS2 i zmiany w polskich przepisach dotyczących cyberbezpieczeństwa wymuszą rewolucję w zabezpieczeniach przedsiębiorstw?

K.S.: Nie wiem, czy nazwałbym to rewolucją. Raczej ewolucją, ale bardzo potrzebną.

Nowe wymagania dotyczące cyberbezpieczeństwa będą oznaczały konieczność większych inwestycji w zabezpieczenia, procedury i przygotowanie pracowników. Spodziewam się, że w najbliższych miesiącach wydatki na bezpieczeństwo będą rosły.

Mam też nadzieję, że firmy przeznaczą więcej pieniędzy na szkolenia. W wielu organizacjach są ludzie, którzy chcą podnosić swoje kwalifikacje, ale dotychczas brakowało na to środków.

Najważniejsze, żebyśmy przestali traktować cyberbezpieczeństwo jako zbędny koszt, a zaczęli postrzegać je jako warunek bezpiecznego funkcjonowania przedsiębiorstwa.

Rozmawiała Mira Suchodolska (PAP)

mir/ kcz/