Hakerzy pokazali, jak łatwo zhakować krytyczną infrastrukturę

Tegoroczne mistrzostwa hakerskie Pwn2Own zostały rozstrzygnięte, a ich zwycięzcami okazali się “informatycy" z Holandii - to ich czwarte zwycięstwo w tym dorocznym konkursie organizowanym w Miami, za które zainkasowali 90 tysięcy dolarów. Wcześniej hakerzy triumfowali w 2012, 2018 i 2021 roku, ale to właśnie ich tegoroczne dokonanie powinno wywoływać niepokój wśród specjalistów od zabezpieczeń cybernetycznych.

Na tegorocznym konkursie Pwn2Own badacze bezpieczeństwa Daan Keuper i Thijs Alkemade postanowili wziąć na cel oprogramowanie do sterowania przemysłowego o nazwie "OPC UA". Ten protokół komunikacyjny o otwartym kodzie źródłowym jest używany na całym świecie do łączenia systemów przemysłowych, takich jak sieci energetyczne i innych elementów infrastruktury o znaczeniu krytycznym.

Holendrzy nie tylko zdołali włamać się do OPC UA, ale przyznali przy okazji, że był to... “najłatwiejszy" system, jaki zhakowali na konferencji hakerskiej - za dowód niech służy fakt, że zajęło im to tylko dwa dni. Nie trzeba chyba dodawać, że nie wróży to nic dobrego:

Fakt, że do infiltracji systemu odpowiedzialnego za kontrolowanie systemów elektrycznych, wodnych i jądrowych potrzeba tylko dwóch hakerów i dwóch dni, jest naprawdę mocno niepokojący, szczególnie w kontekście konfliktu w Ukrainie. W zeszłym miesiącu Biały Dom ostrzegł amerykańskie korporacje, aby wzmocniły swoją cyberobronę na wypadek, gdyby Rosja próbowała zemścić się za amerykańskie sankcjach.

Podobne działania zabezpieczające i przygotowawcze prowadzone są zresztą na całym świecie, również w Polsce, bo warto pamiętać, że premier podpisał ostatnio choćby rozporządzenie o przedłużeniu na terenie całego kraju obowiązywania do 30 kwietnia trzeciego stopnia alarmowego CRP (CHARLIE-CRP) oraz drugiego stopnia alarmowego BRAVO.                    

Technology Review nie wspomniało, czy programiści załatali już tę lukę, jednak gospodarz konkursu Pwn2Own, Zero Day Initiative, stosuje politykę "nagradzania badaczy za dyskretne ujawnienie luk w zabezpieczeniach", więc można założyć, że tak właśnie się stało. Przypominamy, że Pwn2Own to konkurs hakerski organizowany od 2007 roku, w którym biorą udział tzw. białe kapelusze, czyli hakerzy specjalizujący się w wyszukiwaniu luk w zabezpieczeniach, ale w celu ich załatania i zapewnienia bezpieczeństwa zatrudniającym ich organizacjom czy instytucjom.