מדוע אתה צריך לדאוג לגבי מתיחת התראת האפוקליפסה של הזומבים

יתכן ששמעת על התראת שידור החירום בתחילת השבוע אזהרה מפני זומבים שתוקפים אנשים.

אל תיבהל עדיין, מכיוון שזה היה מתיחה. על פי כמה מהדיווחים שפורסמו, עבריינים לא מוכרים פרצו למערכת ההתראה ששימשה כמה תחנות טלוויזיה בארצות הברית ושידרו התראה מזויפת לפיה "ההרוגים קמו מקברם". תחנות במישיגן, ניו מקסיקו ומונטנה הן בין אלה שנפגעו.

מה שכולנו צריכים לדאוג לנו, הוא העובדה שישנן פגיעויות קריטיות בחומרה ובתוכנה המשמשת במכשירים אלה של מערכת התראת חירום, אמר Cesar Cerrudo, סמנכ"ל טכנולוגיית המידע של חברת האבטחה IOActive, ל- SecurityWatch בדוא"ל. מייק דייוויס, מדען המחקר הראשי של IOActive, גילה מספר פגיעויות קריטיות במכשירי EAS המשמשים תחנות רדיו וטלוויזיה רבות ברחבי הארץ, אמר. נקודות תורפה אלה יאפשרו לתוקפים לסכן מכשירים מרחוק ולשדר הודעות EAS.

מכיוון ש- IOActive מצאו כמה מהמכשירים המחוברים ישירות לאינטרנט, החוקרים סבורים כי ככל הנראה התוקפים ניצלו חלק מהליקויים הללו.

במקום להתבדח על אפוקליפסה זומבית, התוקפים היו יכולים לשלוח בקלות התראה על פיגוע טרור מזויף. "זה באמת יבהיל את האוכלוסייה ובהתאם לאופן ביצוע ההתקפה זה יכול להיות בעל השלכות דרסטיות", הזהיר סרודו.

סיסמאות ברירת מחדל לדלת לא נעולה

"מתקפת 'דלת אחורית' אפשרה להאקר לגשת לאבטחת ציוד EAS", כתבה מנהלת תחנות ABC 10, סינתיה תומפסון בבלוג התחנה. תומפסון גם טען כי ההאקר "נמצא".

"הדלת האחורית" התבררה כסיסמאות ברירת מחדל, לפחות עבור מכשירים מסוימים.

ה- FCC הוציא השבוע ייעוץ דחוף לשדרנים להורות להם לפרוס את מכשירי ה- EAS מאחורי חומת אש ולשנות חשבונות משתמש וסיסמאות ברירת מחדל. אם לא ניתן לשנות את הסיסמאות, היועץ דחק בשדרנים לנתק את מכשיר ה- EAS מהאינטרנט "עד לעדכון ההגדרות הללו."

לפי רויטרס, מונרו אלקטרוניקה, שבסיסה בניו יורק, אישרה כי מכשירי ה- CAP EAS של החברה היו בין חלק מהתיבות שנפגעו כחלק ממתלה זו. חלק מהתחנות לא שינו את סיסמת ברירת המחדל של היצרן לאחר התקנת המכשירים, וההאקרים השתמשו במידע ממסמכי תמיכה זמינים לציבור כדי להיכנס ולהכניס את האזהרה המזויפת, כך דיווחה רויטרס.

"הם נפגעו מכיוון שדלת הכניסה נותרה פתוחה. זה היה כמו להגיד 'לכו בדלת הכניסה'", אמר לרויטרס ביל רוברטסון, סגן נשיא מונרו.

התקנים לא בטוחים

IOActive יצרה קשר עם CERT עם תגליותיה לפני כמעט חודש, ו- CERT מתאימה עם הספק כדי לטפל בבעיות, אמר סרודו. חוקרי IOActive מקווים כי הנושאים יתוקנו בקרוב כך שהם יוכלו לדון בממצאיהם בכנס האבטחה RSA בסן פרנסיסקו בהמשך החודש.

למרות שחסרים המון פרטים על מתיחת האפוקליפסה של הזומבים, ברור שמכשירי EAS רבים אינם מאובטחים במיוחד. בעוד שמטרתם העיקרית של מכשירים אלה היא לקודד ולפענח הודעות ולתזמן אותם לשידור, אך הם גם מכשירים ברשת עם יכולות כגון שליחה וקבלה של דוא"ל, אירוח קבצים והורדת תוכן אחר מהאינטרנט.

אם פגמי אבטחה במערכות EAS נשמעים מעט מוכרים, הם כן. יש הרבה הקבלות לפגיעויות האחרונות שהתגלו במכשור רפואי ובמערכות בקרה תעשייתיות המפעילות את מערכות המים, רשת החשמל ומפעלי הייצור של המדינה. מערכות אלה פותחו במקור כמערכות מבודדות, ולכן אבטחה לא הייתה שיקול ראשוני. כעת, לאחר שהמכשירים הללו מחוברים יותר ויותר לרשת החברה ולאינטרנט, סוגיות האבטחה נעשות ברורות מאליהן.

למידע נוסף מפחמידה עקוב אחריה בטוויטר @zdFYRashid.