Relatório da empresa holandesa Applied Risk aponta a existência de quase 19 mil building control systems apresentando vulnerabilidades e conectados com a Internet
Como se não bastassem as falhas e vulnerabilidades em dispositivos pessoais e de rede, elas agora estão cada vez mais presentes também nos BCS, ou building control systems, os sistemas que dão inteligência a prédios das mais variadas aplicações: na semana passada, a empresa de segurança Applied Risk, sediada em Amsterdam, publicou um relatório informando ter encontrado quase 19 mil desses sistemas conectados com a Internet e apresentando vulnerabilidades. Com o título de “I Own Your Building”, o relatório de 132 páginas mostra a existência de cem vulnerabilidades nos sistemas de 19 diferentes fabricantes. Se exploradas, essas falhas permitem ataques de negação de serviço (DoS), execução remota de código (RCE) e até coleta de informações críticas sobre a operação desses sistemas.
O que um hacker pode fazer no prédio
Algumas das ações que um hacker pode realizar explorando essas falhas, segundo o relatório:
- Travar e destravar remotamente portas
- Controlar o acesso físico a áreas restritas
- Negação de serviço
- Manuseio de alarmes e sistemas de vigilância
- Controle de temperatura, aquecimento, ar condicionado, persianas, leituras de gás, etc.
Esta é a distribuição dos sistemas por marca:
- Alerton 269
- Automated Logic 524
- BACnet devices 7623
- Bosch 3239
- Computrols 43
- EasyIO 22
- Honeywell 68
- Johnson Controls 12
- Kentix 17
- LG 36
- Miditec 27
- Nortek 2582
- Optergy 72
- Prima 145
- Priva 70
- Reliable Controls 3148
- Schneider Electric 82
- Siemens 880
- Trane 27
Os especialistas da Applied Risk acrescentam que esses sistemas são normalmente implementados em vários tipos de estruturas, incluindo prédios governamentais, hospitais, bancos ou empresas privadas. Em caso de exploração, os hackers podem assumir o controle total de um desses recursos para fins maliciosos. Eles afirmam no relatório que todos os sistemas analisados contêm as mesmas vulnerabilidades e erros de segurança. Em tese, isso indica os administradores desses sistemas cometem os mesmos erros, expondo os sistemas ainda mais.
Além de revelar vulnerabilidades e esses erros de gerenciamento, o relatório da Applied Risk faz uma série de recomendações para usuários finais, fornecedores e administradores de sistemas, de modo que possam identificar esses riscos e mitigar a possível exploração das falhas. O relatório inclui uma prova de conceito de ataque de execução remota de código nos produtos afetados, comprovando que o risco é real em várias instalações ao redor do mundo.
