Questo articolo è disponibile anche in
versione podcast audio.
La gestione elettronica dei veicoli è una gran bella cosa, con tanti vantaggi,
ma va fatta bene: se è fatta male, può avere conseguenze catastrofiche e
inattese.
Un esempio in questo senso arriva nientemeno che dalla
Cybersecurity and Infrastructure Security Agency del governo
statunitense, che si occupa di sicurezza informatica delle infrastrutture ai
più alti livelli.
Il CISA ha pubblicato un
avviso
a proposito della pericolosità di un dispositivo di tracciamento GPS dotato di
ricetrasmettitore cellulare, molto usato dalle flotte di veicoli commerciali. Si chiama MV720 e lo fabbrica la MiCODUS. Questo dispositivo ha una serie di difetti informatici che possono
permettere a un aggressore addirittura di prendere il controllo del veicolo,
per esempio disattivandone l’antifurto e anche interrompendo l’erogazione di
carburante oltre a tracciarne la posizione e i percorsi.
Fra questi difetti spicca un classico: una cosiddetta hardcoded password, ossia
una password di amministrazione fissa e non modificabile, una sorta di
passepartout, che permetterebbe a un aggressore di accedere al server di
controllo e mandare comandi ai dispositivi di tracciamento tramite SMS.
Come se non bastasse, un altro difetto consente a un malintenzionato di
mandare comandi, tramite SMS, senza aver bisogno di autenticarsi. E poi c’è un’altra
falla, che permette di accedere ai dati degli altri utenti perché il server non
verifica l’identificativo del dispositivo che viene inviato dall’utente. Il
problema, quindi, rischia di riguardare tutti i dispositivi di tracciamento di
questa marca.
Un vero disastro di incompetenza, insomma, che apre la porta ad attacchi di
vario genere: a parte quelli strategici o politici e ideologici, ci sono quelli
del crimine informatico organizzato. Con falle di questo livello,
un’organizzazione criminale potrebbe per esempio ricattare un’azienda di
trasporti, minacciando di fermare tutta la sua flotta di veicoli se non viene
pagato un riscatto, oppure potrebbe acquisire i dati delle spedizioni e compiere furti
mirati.
La scoperta di queste vulnerabilità è stata fatta dai ricercatori della società di sicurezza
informatica statunitense Bitsight ed è stata
descritta in un
rapporto pubblico
molto dettagliato dopo aver tentato inutilmente di avvisare la casa
produttrice del dispositivo, la cinese MiCODUS, e dopo aver comunicato privatamente il
problema alle autorità governative statunitensi per la sicurezza informatica.
Circa un milione e mezzo di utenti privati e di aziende che usano questi
dispositivi in quasi 170 paesi, comprese forze militari, agenzie governative e
corrieri, a questo punto hanno una sola strada per eliminare il rischio:
assicurarsi che questi tracciatori non siano accessibili da Internet e usare
accessi remoti sicuri, protetti per esempio da VPN. O, meglio ancora, rimuovere
completamente questi dispositivi e sostituirli con alternative meno
vulnerabili.
Il problema è ovviamente capire quali lo sono e quali no, ma grazie ai
ricercatori almeno adesso sappiamo che questo, perlomeno, è da evitare.
[…] Dispositivi di tracciamento colabrodo mettono a rischio le flotte di trasporto su strada […]