Jako pierwsza pojawiła się informacja o ogromnym wycieku danych w sieciach dwóch amerykańskich sklepów, którego efektem była kradzież danych kart kredytowych oraz prywatnych informacji dotykająca około 110 milionów klientów. Hakerzy wykorzystali tutaj złośliwe oprogramowanie oparte o technikę RAM scraping, które zaimplementowano w terminalach płatniczych w sklepach.

Mimo, iż terminale płatnicze nie wyglądają jak tradycyjne komputery, to jednak posiadają one procesory oraz pamięć RAM i spełniają pewne podstawowe funkcje komputerowe – np. odczytywanie danych z kart kredytowych klientów lub szyfrowanie i przesyłanie informacji do sklepowych systemów informatycznych.

Czym jest RAM scrapping

Złośliwe oprogramowanie wykorzystujące RAM scraping jest zaprojektowane tak, by aktywować się w momencie gdy nowe dane są ładowane do pamięci, jednak jeszcze przed ich zaszyfrowaniem. Dane zostają przechwycone (między innymi nazwisko właściciela karty, numer karty, termin ważności oraz trzycyfrowy kod bezpieczeństwa) a następnie przekierowane do atakującego. Chociaż terminale płatnicze nie zawsze są podłączone bezpośrednio do Internetu, to jednak systemy informatyczne sklepów bazują głównie na rozwiązaniach oparty na systemie MS Windows, który wymaga regularnych aktualizacji oraz odpowiedniej konfiguracji, w związku z czym ich serwery najczęściej mają połączenie z Internetem.

W efekcie jeżeli haker, wykorzystując luki bezpieczeństwa znajdzie możliwość przedostania się do sklepowego serwera, to może dostać się również do innych lokalnych sieci, a następnie do samych terminali płatniczych i systemów z nimi związanych.

Spam: świeżutki, prosto z lodówki

Drugi incydent, według ostatnich informacji, to zdarzenie, które miało miejsce podczas świąt Bożego Narodzenia, kiedy ponad 100 000 inteligentnych urządzeń, w tym podłączone do Internetu lodówki, smart TV oraz cyfrowe dekodery, umożliwiły przesłanie ponad 750 000 maili spamowych i phishingowych.

Oczywiście problem zarażenia botami domowych i biurowych komputerów w celu generowania spamu, maili phishingowych a także przeprowadzania ataków „denial of service” jest dosyć powszechny, jednak w tym przypadku po raz pierwszy odnotowano włączenie do sieci botnet inteligentnych urządzeń użytku domowego.

Większość urządzeń tak naprawdę nie było zawirusowanych, lecz po prostu nie posiadało żadnych zabezpieczeń, w związku z czym haker mógł się włamać i zmodyfikować oprogramowanie tak, by rozsyłało spam i zainfekowane emaile. Ten incydent doskonale pokazał, jak wiele cyberprzestępcy mają zasobów do dyspozycji oraz jak efektywne mogą być nawet najbardziej niekonwencjonalne metody.

Ochrona mienia

To, że ataki na inteligentne urządzenia już się rozpoczęły może oznaczać tylko jedno – z czasem będzie ich coraz więcej. Agencja analityczna IDC przewiduje, że w 2020 roku do Internetu będzie podłączonych 200 miliardów urządzeń – obecnie jest ich około 5 miliardów (około miliarda komputerów, 2 miliardów telefonów komórkowych i tabletów oraz pozostałe 2 miliardy urządzeń takich jak stacje pogodowe, kamery internetowe itp.)

Zabezpieczenie tych urządzeń będzie wyzwaniem. Wiele z nich posiada ograniczoną moc obliczeniową i nie jest w stanie udźwignąć konwencjonalnego rozwiązania antywirusowego. Zamiast tego bezpieczeństwo tych urządzeń opiera się o dbałość użytkowników o zmianę haseł na inne niż domyślne oraz nie pozostawiania urządzeń dostępnych dla niezaufanych osób – w dokładnie ten sam sposób, w jaki zaleca się chronić domowe sieci bezprzewodowe.

Ataki na większą skalę, takie jak te wykorzystujące RAM scraping w wielkich sieciach sklepowych, podkreślają jak ważne jest przestrzeganie dobrych praktyk bezpieczeństwa w każdym przedsiębiorstwie. Takie dobre praktyki to między innymi instalowanie najnowszych aktualizacji w celu zlikwidowania słabych punktów oraz zaimplementowanie wielowarstwowej ochrony w celu zabezpieczenia sieci i danych – nawet jeżeli jedna z warstw zostanie sforsowana, to kolejna być może powstrzyma atakującego. Na przykład przedsiębiorstwa mogą odizolować poszczególne segmenty sieci za pomocą firewalli, wobec czego atakujący nie będą mogli przeprowadzać ataków pomiędzy różnymi sieciami. Można również skorzystać z usługi ThreatCloud Emulation oferowanej przez firmę Check Point, która identyfikuje oraz izoluje złośliwe pliki zanim jeszcze dostaną się do sieci, dzięki czemu nie dochodzi do infekcji.

“Internet Przedmiotów” sprawia, że świat ma możliwość lepszej komunikacji i staje się bardziej wydajny. Niestety, jednocześnie dzięki niemu również cyberprzestępcy mają lepszą możliwość porozumiewania się oraz zyskują większe zasoby umożliwiające przeprowadzanie ataków. Zdecydowanie powinniśmy uważać na "podejrzane urządzenia" – zwłaszcza, że wkrótce mogą to być wszystkie urządzenia.

Autor tekstu: Krzysztof Wójtowicz, dyrektor zarządzający w polskim oddziale Check Point Software Technologies