Самые интересные взломы в мире интернета вещей

Подключение к интернету наделяет многие из домашних устройств новыми полезными качествами, но безопасность в мире IoT часто работает по принципу «заходи, кто хочешь».

Значительная часть таких девайсов — это скучные роутеры, сетевые хранилища и камеры видеонаблюдения. Но чем больше оборудования подключают к Сети, тем больше появляется зрелищных примеров.

1. Бензоколонка дарит бензин всем желающим

Из?под контроля служащего автозаправочной станции вышел насос, который более полутора часов раздавал бесплатное топливо всем желающим, так как система не реагировала на команды. Странным сбоем успели воспользоваться более десяти автовладельцев, которые заправились в общей сложности на 1800 долларов США. Есть подозрение, что хакеры смогли удаленно перевести систему в режим отладки и отключить ее от связи с кассовыми терминалами.

2. Плюшевые игрушки шпионят за детьми

Защитить сам гаджет мало, важно обеспечить и безопасность его облачного бэкэнда. В этом плане показательна история производителя игрушек Cloud Pets, который забыл должным образом защитить базу данных MongoDB. Вскоре ее многократно скачали неизвестные личности, получив доступ к данным 821 296 аккаунтов и 2 182 337 аудиозаписей, которыми обменивались дети и их родители через плюшевых зверей. Кстати, и сами игрушки тоже оказались уязвимыми: из?за отсутствия механизма шифрования любой желающий может выкачать из них все данные по Bluetooth.

Может сложиться впечатление, что все эти уязвимости не так важны в реальной жизни: ведь кто?то должен очень уж заинтересоваться тобой, чтобы взламывать твою игрушку или посудомоечную машину. В реальности опасаться, в первую очередь, стоит вирусов. Их авторы пользуются тем, что среди умных гаджетов еще чаще встречаются экземпляры без критических обновлений, чем среди веб?серверов. А любой незащищенный компьютер, до которого можно добраться, легко становится частью ботнета.

3. Атака хакеров при помощи вредоноса BlackEnergy на ТЭС

«Прикарпатьеоблэнерго» привела к отключению электричества на 3 часа на Западной Украине. По оценкам ESET, iSight, Trend Micro и других компаний, данный вирус неоднократно использовался для проведения атак на правительственные организации и инфраструктуру компаний по всему миру.

4. Замки, сейфы и защитные системы

История с замками LockState показывает, что старые добрые проблемы с софтом в реальном мире выводят связанные с ними неудобства на принципиально новый уровень. Замки LockState очень популярны среди пользователей Airbnb, а компания — официальный партнер сервиса. Открыть такой замок можно как ключом, так и кодом, которые и выдают гостям. Когда в августе прошлого года около 500 устройств перестали открываться из?за глючного обновления прошивки, владельцам пришлось срочно впускать гостей вручную и сдавать замки в ремонт на неделю.

Можно вспомнить историю с сейфами для оружия фирмы Vaultek, которые блокируются по Bluetooth из мобильного приложения. Изучив такой сейф, пентестеры нашли много интересного. Во?первых, вместе с командой открытия пересылается PIN?код, но нет никакой проверки его подлинности — достаточно привязать устройство к смартфону. Во?вторых, производитель, как оказалось, лгал насчет шифрования (PIN пересылался в виде простого текста). Атакующий может просто перехватить трафик Bluetooth, и вот код у него в руках. А потом и пистолет.

5.Автомобили

О взломе современных автомобилей говорят давно. Удаленный взлом автомобилей Jeep продемонстрирован еще в 2015 году. В лабораторных условиях ежегодно находятся уязвимости в автомобилях BMW, Subaru и Tesla. Благодаря им удается не только перехватывать управление, но и ежегодно угонять десятки автомобилей по всему миру.

6. Кардиостимуляторы

Исследователи стар тапа MedSec заявили, что нашли уязвимости в оборудовании фирмы St.Jude Medical — электрокардиостимуляторах (имплантах, которые считывают сердечный ритм и стимулируют сердцебиение).

Уязвимости оказались реальными и весьма опасными. Их эксплуатация позволяет неавторизованному пользователю получить удаленный доступ к имплантированному пациенту RF?кардиоустройству, подменив передатчик.

Подмена команд имплантированного устройства может привести к истощению заряда батареи, а также к установлению некорректного сердечного ритма или некорректной подаче разряда.

В результате было выпущено обновление прошивки, но все 465 тысяч пациентов, в грудную клетку которым уже установили одну из уязвимых моделей устройства, должны теперь посетить врача и получить критические обновления.

Источник: m.vk.com

Комментарии: