На прошлой неделе сразу несколько крупных российских банков, включая Сбербанк, банк «Открытие» и Альфа-банк, подверглись необычной хакерской атаке. Согласно оценке «Лаборатории Касперского», в последнюю атаку на российские банки было вовлечено 24 тыс. устройств. Некоторые банки подверглись атакам неоднократно — компания зарегистрировала серии от двух до четырех атак с небольшим интервалом и продолжительностью до 12 часов. «Их мощность достигала 660 тыс. запросов в секунду*, при этом есть основания считать, что это далеко не предел», — отмечали представители «Лаборатории Касперского». К серьезным последствиям в работе финансовых учреждений попытки взлома не привели, но оказались прецедентными в другом смысле. 10 ноября ЦБ официально подтвердил, что эта DDoS-атака была совершена с помощью устройств, относящихся к интернету вещей. Это первый официально признанный случай в России, когда в преступных целях могли использоваться «умный» холодильник, smart-TV, охранная система входной двери или даже лампочка.
Тостер вместо компьютера
Как известно, суть DDoS-атаки (distributed denial of service — распределенная атака типа «отказ в обслуживании») — вызвать перегрузку на сервере или сайте жертвы с помощью большого числа входящих запросов. Для этого хакеры объединяют в одну сеть большое число компьютеров, которые и создают контролируемую перегрузку.
С недавних пор с этой целью используют любые устройства, которые подключены к сети того или иного рода. А поскольку концепция интернета вещей (Internet of Things, IoT) построена на принципе подключения окружающих предметов — от личного автомобиля до жалюзи — к интернету и взаимодействию между собой и внешним миром практически без участия человека, постольку DDoS-атака может быть устроена не традиционными компьютерами, а объединенной сетью «умных» холодильников. Именно они в итоге и генерируют обращения к серверу банка, совершая попытку взлома.
Еще в прошлом году американский ученый Винтон Грей Серф, которого называют отцом интернета, заявил об опасности того, что «100 000 холодильников взломают Bank of America». По подсчетам компании Cisco, количество подключенных к сети устройств превысило мировую численность населения еще в 2008–2009 годах. Их число, согласно прогнозу американского издания Business Insider, к 2020 году увеличится до 34 млрд. При этом только 10 млрд из них придется на традиционные смартфоны, компьютеры, планшеты, остальные 24 млрд — это устройства, относящиеся к интернету вещей. Huawei прогнозирует этот рост и вовсе до 100 млрд устройств.
По оценке Андрея Колесникова, главы Ассоциации IoT, созданной Фондом развития интернет-инициатив, в России сейчас около 20 млн устройств IoT. В первую очередь это оснащенные сим-картами транспортные средства, счетчики ЖКХ, указал представитель фонда.
Армия из роутеров и видеокамер
Можно сказать, российским банкам повезло. С помощью интернета вещей можно организовывать гораздо более мощные нападения. В сентябре этого года с использованием примерно 150 тыс. устройств, в основном камер видеонаблюдения и роутеров, была совершена атака на несколько крупных международных компаний. Среди пострадавших оказались сайт KrebsOnSecurity.com, мощность атак на который составляла 600–700 Гб/с, и французский хостинг-гигант OVH, которому досталось еще больше — 1,5 Тб/с, что стало самой мощной зарегистрированной DDoS-атакой. 21 октября 2016 года из-за мощной DDoS-атаки на компанию Dyn оказались недоступными для пользователей сайты Twitter, PayPal, Netflix, Reddit, Github, Soundcloud, Spotify и другие. На пиках, по данным Dyn, мощность атаки достигала 1,2 Тб/с. Согласно отчету компании Verisign за второй квартал 2016 года, средний пик мощностей DDoS-атак за этот период составил 17,37 Гб/c. Этот показатель вырос в 2,14 раза по сравнению с тем же периодом 2015 года. При этом количество подобных атак увеличивается на 75% ежегодно.
Как ломались Jeep и лампочки
В августе 2016 года на одной из главных хакерских конференций BlackHat 2016 исследователь и технический директор компании NewAE Technology Колин О»Флинн показал, как можно взломать «умную» систему освещения Philips Hue. В результате кибератаки лампочки загорались и гасли по желанию хакера. Кроме того, О»Флинн подтвердил возможность разработки вредоносного ПО, которое могло бы передаваться от одной «зараженной» лампочки к другой. В результате злоумышленники могли бы управлять электричеством как в отдельном здании, так и в целом квартале.
Демонстрировать уязвимость умных систем хакеры начали еще несколько лет назад. В 2011 году интернет-разработчик Барнаби Джек продемонстрировал возможность дистанционного взлома инсулиновой помпы, а в 2012-м — кардиостимулятора, который по команде выдавал смертельный разряд в 830 В. В 2013 году американские эксперты Крис Валасек и Чарли Миллера взломали систему в собственном Jeep Cheeroke и сделали сенсационный доклад о возможности дистанционного управления автомобилем. Следующие три года они занимались тем, что взламывали автомобиль разными способами и в итоге продемонстрировали возможность полного дистанционного захвата управления. Главным достижением Валасека и Миллера стал отзыв 1,4 млн автомобилей концерна Chrysler для внесения изменений в электронные системы защиты.
Антивирус для холодильника
Поначалу для овладения арсеналом вещей были нужны немалые ресурсы. Однако в последние пару лет DDoS-атаки стали гораздо дешевле и, соответственно, гораздо распространеннее, отмечает директор по развитию продуктов ГК InfoWatch Андрей Арефьев. «Большую роль здесь играют и неправильно сконфигурированные сетевые устройства, и широкое распространение устройств для интернета вещей. Для снижения рисков необходимо повышать качество защиты продуктов интернета вещей и сетевого оборудования», — говорит эксперт. По оценке экспертов ГК InfoWatch, интернет вещей сегодня — это самый незащищенный сегмент, чем все чаще пользуются злоумышленники: IP-адреса устройств включаются в общие сети как инструменты для реализации целевых атак, в том числе DDoS.
Согласно мнению опрошенных РБК экспертов, самое слабое звено интернета вещей заключается в том, что они, как правило, самостоятельно не обновляют программное обеспечение, то есть работают на первичных заводских настройках. А потребитель редко задумывается о необходимости загрузки или обновления ПО для «умной» зубной щетки или видеокамеры.
«Сделать «навесную» антивирусную защиту для устройств интернета вещей крайне сложно, — отмечает Юрий Наместников, руководитель российского исследовательского центра «Лаборатории Касперского». — Единственный способ защитить устройство интернета вещей — это сделать его безопасным с самого начала, by-design, то есть оно должно быть произведено с учетом требований безопасности. Поэтому вендорам необходимо уделять больше внимания безопасности умных устройств на этапе производства. Регуляторам же нужно создавать законодательную базу, новые стандарты для использования подобных устройств».
Обеспечение безопасности объектов интернета вещей — это большое поле для приложения усилий в области информационной безопасности, соглашается Мария Воронова, руководитель направления консалтинга, ведущий эксперт по информационной безопасности ГК InfoWatch. «О создании специальных средств защиты для сегмента IoT задумываются все больше вендоров, но здесь пока рано говорить о полноценных готовых решениях, этот рынок только зарождается», — заключила она.