Ira Winkler

Winkler és társai egy meg nem nevezett villamosenergia-szolgáltató cég kérésére végeztek penetration testinget, azaz egy szimulált, a rendszer gyengeségeit feltáró hackelési kísérletet. A szakértőknek kevesebb mint 24 órájukba került a cég egyes számítógépei fölött átvenni az irányítást, amelyhez nemcsak a gépek böngészőit kellett megkaparintaniuk, hanem úgynevezett social engineering megoldásokat is alkalmazniuk kellett (amelyek során a hackerek magukat másnak kiadva kérnek el jelszavakat vagy a hackeléshez használható technikai adatokat személyesen vagy telefonon keresztül).

A szakértő elmondása szerint az akciót a szolgáltató cég pár órával a törés után lefújta, annyira megrémült a rendszerében található biztonsági rés méretétől. Winkler szerint a probléma a teljes energiaszolgáltató ágazatban megtalálható. A cégek által használt felügyelő, irányító és adatgyűjtő SCADA-hálózatokat ugyanis az internet elterjedése előtt építették, a kezdetben zárt rendszereket pedig bár kibővítették intranetes és internetes megoldásokkal, a keletkező biztonsági réseket nem fedték be. A cégek egyes számítógépei nemcsak a SCADA-hoz, hanem az internethez és egyes üzleti szerverekhez is hozzáférhetnek, így egy pontosan célzott internetes támadással teljesen "el lehet téríteni" az irányító rendszereket. Winkler társaival a cég dolgozóinak e-mail címeit gyűjtötte be, majd elküldött nekik egy levelet, amelyben egy weboldal címét ajánlották nekik (a link elméletileg a cég juttatásainak csökkentésével kapcsolatos megszorításokról szólt) - a linkre kattintva az alkalmazottak a Winklerék által fenntartott weboldalra jutottak, ahonnan olyan programot töltöttek le akaratukon kívül, amellyel percek alatt át lehetett venni gépeik felett az uralmat.

A SCADA-rendszerek születésüktől kezdve bizonytalanok, mivel standard, boltokból beszerezhető alkatrészekből összeállított hardverből és módosítatlan operációs rendszereken futó szoftverekből állnak, így gyakorlatilag kevés olyan biztonsági rés van, amiken keresztül ne lehetne ezeket a gépeket megtörni, mondja Winkler. A cégek ráadásul - érthetően - nem akarják megszakítani szolgáltatásaikat megszakítani azzal, hogy a biztonsági réseket befoltozzák, így tovább növelik a támadhatóság esélyét. Winkler hangsúlyozza, nem okoz gondot publikusan beszélnie erről, ugyanis a hackerek pontosan ismerik az érintett cégrendszerek belső felépítését, nem hívja fel jobban a figyelmet a biztonsági rések meglétére.