IoT детям не игрушка. Как хакерские атаки на интернет вещей пугают не только крупные корпорации, но и обычные семьи

В предыдущем тексте мы рассказали о самых серьезных хакерских атаках на устройства интернета вещей. Но за скобками остались не очевидные решения злоумышленников, направленные не против корпораций, а против обычных людей.

Аналитики Trend Micro рассказывают, что взломанные IoT-устройства, как правило, используют:
1. для организации DDOS-атак;
2. в качестве VPN-узлов — через них хакеры выходят в сеть, чтобы их труднее было вычислить.

Если первый вариант используется довольно часто, то второй пока экзотика. Недавно злоумышленники отправляли с сети взломанных IoT-устройств фишинговые письма (около 2 тыс. в день), при этом письма маскировались под сообщения от известных брендов. Тогда эксперты по информационной безопасности отметили, что использовать для атак IoT-устройства проще и надежнее, чем VPN-сервера, поскольку за них не надо платить и они не окажутся в стоп-листе IP-адресов, с которых рассылался спам.

По словам аналитиков, в обоих случаях хакеры, получившие доступ к IoT-устройствам, часто продают этот ресурс другим преступникам.

Более изощренные мошенники ищут новые методы атак на IoT-устройства и новые пути их монетизации. Одни продают в даркнете доступ к бензоколонкам, другие — специализированные прошивки для умных счетчиков воды, электричества и газа (правда, что еще с ними можно делать, кроме как экономить на “коммуналке”, никто пока не придумал).

История игрушек

“Умные” игрушки, будь то куклы с распознаванием речи или управляемые с телефона машины, по-прежнему считаются смешным и безобидным развлечением. Родители не учитывают, что игрушки могут не только похитить данные о владельце и передать их злоумышленникам, но и следить за ребенком, даже “напасть” на него (если игрушкой управлять дистанционно). Во многом это пока страшилки, но прецеденты уже были. В 2017 году ФБР официально обратилась к американцам с просьбой внимательно изучать уязвимости “умных” игрушек перед их покупкой.

В 2017 году немецкие власти обвинили в шпионаже куклу “Моя подруга Кайла” и запретили ее продавать на территории страны. Изначально она позиционировалась как игрушка, которая общается с ребенком и отвечает на вопросы. Вскоре спецслужбы выяснили, что Кайла записывает все разговоры, конвертирует их в текст и сохраняет на сервере. При этом по пользовательскому сообщению компания могла передавать эту информацию третьим лицам для таргетирования рекламы. Теоретически разговоры с игрушкой могли перехватить и хакеры, но до этого не дошло.

Спустя пару недель после этого инцидента стало известно, что еще более опасным устройствами оказались плюшевые игрушки CloudPets. С их помощью дети могли общаться со своими родителями. Но разработчики фактически оставили в открытом доступе 800 тыс. логинов и паролей пользователей и два миллиона аудиосообщений, которыми обменивались члены семьи. Кроме того, специалисты по кибербезопасности выяснили, что получить доступ к игрушке и воспроизвести любую запись может кто угодно, находящийся в нескольких метрах от зверька. Воспользовался ли уязвимостью кто-либо из злоумышленников — неизвестно.

Доктор Зло

К 2020 году в мире будет 650 миллионов медицинских IoT-устройств. Однако почти ничего не делается для их защиты, сервера многих из них по-прежнему работают чуть ли не на Windows 2000.

Многие устройства могут привести к смерти больного. В частности, можно взломать автоматизированные помпы для ввода инсулина в организм (вызвать передозировку); также можно скомпрометировать кардиостимуляторы, передав им команду остановки сердца. Помимо этого, хакеры получают доступ к персональным данным больных.

Сами хакеры признаются, что их главной целью становятся именно медицинские устройства. Дело в высокой вероятности успеха таких атак и в масштабе последствий. Именно поэтому большинство производителей такого оборудования заранее предупреждают больных о возможных рисках и советуют вести непрерывный контроль за показателями состояния и дозировке вводимых лекарств. Полгода назад FDA сделало официальное заявление о высокой кибер-уязвимости инсулиновых помп, тогда же некоторые производители отозвали продукцию и массово заменили насосов уже используемых пациентами устройств.

Парадокс в том, что многие пациенты и сами смогли взломать систему подачи лекарства через смартфон. Этим они даже усовершенствовали устройства — установили индивидуальные параметры, учитывая свои потребности. Врачи, конечно, выступают против такой инициативности.

Гостиницы

Эксперты по кибербезопасности регулярно напоминают, что техника, подключенная к интернету вещей, нуждается в защите так же, как, например, серверы или смартфоны. Для обычного потребителя подключенный к сети чайник так и остается обычным чайником. Пользователь не понимает, что через этот бытовой прибор можно получить доступ ко всей системе умного дома и управлять всеми настройками сети. По статистике, наиболее уязвимыми считаются принтеры, роутеры, веб-камеры и медиаплееры.

Показательная история произошла в 2017 году в одном из казино. Сама по себе сеть была защищена от внешней угрозы, но ахиллесовой пятой оказался “умный” термостат в аквариуме. Через него злоумышленники попали во внутреннюю сеть казино, после чего похитили базу данных о посетителях.

Об опасности термостатов еще в 2016 году рассказывали эксперты немецкой IT-компании Antago. В рамках эксперимента они получили доступ к системе удаленного администрирования номеров элитного отеля в Дубае. Тогда специалисты сняли один из номеров, открутили от стены сам термостат и подключили к KNX-кабелю специальное устройство, которое запомнило, за какие действия отвечают те или иные команды в сети. После этого в устройство добавили GSM-модуль, чтобы им можно было управлять с помощью SMS. Сам гаджет спрятали за термостатом, который специалисты вернули на место. Таким образом они получили доступ ко всей сети отеля. Они смогли повысить температуру в номере до максимума, открывать-закрывать окна в любом номере, включать-выключать свет. Вся процедура взлома заняла у специалистов восемь минут.

Впрочем, физический доступ к IoT-устройствам нужен далеко не всегда. В 2017 году хакеры взломали систему регистрации электронных ключей австрийского отеля, заблокировав все двери в номера и заперев в них постояльцев. Владельцам гостиницы пришлось заплатить хакерам 1,5 тыс. евро в биткоинах, чтоб они выпустили людей из номеров. Позднее хакеры пытались снова напасть на гостиницу, но к тому времени все компьютеры в сети уже поменяли.

Эксперты по кибербезопасности рассказывают, что пользователи умных гаджетов редко меняют базовые настройки (например, пароль доступа к устройству), в результате чего подключиться к сети хакеры могут довольно легко, быстро подобрав пароль. Поэтому даже если в вашей умной квартире нет термостата, злоумышленник все равно найдет, за какую из “вещей” зацепиться.

К чему готовиться?

Аналитики Trend Micro, опираясь на анализ даркнета и обсуждениях о взломе IoT-устройств, сделали прогнозы на ближайший год. Средни них:

• Хакеры будут искать новые пути монетизации взлома. В связи с этим их интерес переключится как на индустриальный интернет вещей, так и на наиболее распространенные “умные” устройства (и то, и другое можно использовать для вымогательства);
• Киберпреступники будут реже получать доступ к сети через уязвимые маршрутизаторы: большая часть атак сегодня связана с изменением настроек DNS, эту уязвимость легко могут исправить разработчики. И когда они это сделают, хакерам придется искать новые точки выхода в сеть;
• Появятся более сложные угрозы, такие как низкоуровневые руткиты или заражение микропрограммного обеспечения.