Hakeri odmrznuli hranu u trgovinama: Koliko je Hrvatska izložena?

Meta kibernetičkih napada više nisu samo podaci. Sredinom listopada napadnuti su rashladni sustavi velikih francuskih prodajnih centara i isključeno hlađenje, što je izazvalo odmrzavanje hrane i gubitak od nekoliko desetaka milijuna eura. Sličan scenarij dogodio se tri tjedna poslije u Nizozemskoj, Belgiji, Švedskoj, Irskoj i Luksemburgu. Iako je postojala zaštita poput vatrozida, hakeri su napali operativnu tehnologiju jer je upravljačko sučelje sustava bilo dostupno s interneta, a oprema stara i bez sigurnosnih zakrpa.

Pristup 'ako radi, ne diraj'

U takvim slučajevima, prema riječima Janka Pazmana, osnivača i direktora tvrtke GMT Systems B.V. u Amsterdamu, vatrozid (engl. firewall, mrežni sigurnosni sustav koji nadzire i kontrolira dolazni i odlazni mrežni promet na temelju unaprijed definiranih sigurnosnih pravila, čije postavljanje uz VPN izričito zahtijevaju proizvođači poput Danfossa za svoje industrijske kontrolere, frekvencijske pretvarače i sustave upravljanja) ne čini sigurnom operativnu tehnologiju, sustave koji upravljaju fizičkim procesima poput rashlade, grijanja ili proizvodne linije.

Janko Pazman, osnivač i direktor tvrtke GMT Systems B.V. u Amsterdamu, objašnjava da opremu poput rashladne održavaju i manji servisi, a jedan servis može raditi za više trgovačkih lanaca. Kompromitacija takvog partnera ili njegova računa s velikim ovlastima može istodobno pogoditi više hrvatskih tvrtki. Kod svakog takvog partnera, ističe, uprava mora znati kako se pristupa opremi, jesu li pristupi različitim klijentima odvojeni i tko ih može zatvoriti

– ​Vatrozid je brava na vratima. Pitanje je tko ima ključ i što smije napraviti kad uđe. Ako je upravljačko sučelje sustava dostupno izravno s interneta, oprema ostaje izložena i uz postavljen vatrozid. Francuski CERT-FR nakon kompromitacija rashladnih kontrolera preporučio je uklanjanje izravne internetske izloženosti i pristup samo preko zaštićene veze. Drugi je problem oprema koja više ne dobiva sigurnosne zakrpe. Proizvođač je potvrdio da je dio pogođene opreme u Francuskoj bio upravo takav. Vatrozid može ograničiti pristup takvom uređaju i smanjiti rizik, ali ne uklanja ranjivost u njegovu softveru. U praksi tu najčešće pobijedi pravilo 'ako radi, ne diraj'. Tvrtka je usmjerena na to da posluje i raste, pa nitko nema vremena za opremu koja još radi. To traje do prvoga ozbiljnog incidenta – objašnjava Pazman.

Dodaje da je korisnije pitanje od toga postoji li vatrozid, tko smije upravljati kritičnom opremom, odakle i s kojim ovlastima.