Pakastealtaat paljastivat laitteiden internetin heikon kohdan

Tietoturvan perusteet ovat yksinkertaiset:

• Käytä vahvoja ja uniikkeja salasanoja eri palveluissa
• Käytä kaksivaiheista tunnistautumista
• Ota säännöllisesti varmuuskopiot
• Älä käytä tuntemattomia avoimia verkkoja
• Suhtaudu kriittisesti yllättäviin ja välittömiä toimia vaativiin viesteihin
• Lataa ja asenna aina uusimmat päivitykset

Lähes jokainen luistaa jossain kohtaa näistä vaatimuksista, ja silloin järjestelmään aukeaa aukko.

Viimeisin aukko ammottaa eurooppalaisten ruokakauppojen pakastealtaissa. Eilen uutisoitiin, että K-kauppojen kylmälaitteissa havaittiin maanantain vastaisena yönä lämpötilahäiriöitä.

Aiemmin vastaavanlaisia ongelmia on ollut muun muassa Alankomaissa, Irlannissa, Portugalissa, Ranskassa, Ruotsissa ja Virossa. Britannian yleisradioyhtiö BBC:n mukaan ruokaa on jouduttu hävittämään miljoonien eurojen arvosta.

Vielä on liian aikaista arvioida, miten hakkerit onnistuivat murtautumaan kylmälaitteisiin. Aukko kuitenkin löytyi, ja sitä käytettiin hyväksi.

Kylmälaitteiden tietoturva-aukot paljastuivat jo elokuussa

Tämänhetkisten tietojen mukaan hyökkäykset ovat kohdistuneet ainakin tanskalaisen Danfossin järjestelmiin.

Tietoturvayhtiö Clarotyn tutkimusryhmä julkaisi elokuussa raportin, jossa listattiin useita vakavia tietoturva-aukkoja Danfossin järjestelmistä. Raportissa todettiin, että pahimmillaan haavoittuvuudet mahdollistavat koko kirjautumisen ohittamisen ja laitteen ottamisen etähallintaan.

Pari kuukautta myöhemmin näin tapahtui.

Claroty oli kertonut löydöksistään Danfossille ennen raportin julkaisua, ja tanskalaisyhtiö oli julkistanut päivityksen laitteilleen.

Kaikki kaupat eivät olleet ehtineet ajaa päivityksiä.

Belgialaisen kylmäjärjestelmätoimittaja Sabcobelin toimitusjohtaja Stephan Moelans on myöntänyt, että laitteiden päivittämisessä on ollut haasteita. Monet laitteista ovat olleet niin vanhoja malleja, ettei niihin ole ollut mahdollista asentaa ohjelmistopäivitystä.

Järjestelmissä olevat aukot alkavat olla paikattuja

Havaittujen tietoturva-aukkojen paikkaamista hidastaa myös se, että yrityksissä ei ole aina selkeää kuvaa siitä, mitä kaikkea verkkoon on yhdistetty, sanoo pitkän linjan tietoturva-asiantuntija ja droonien torjuntaan erikoistuneen Sensofusion Oyj:n tutkimusjohtaja Mikko Hyppönen.

– Monessa tapauksessa ei vaan olla tajuttu, että hei, meilläkin on näitä järjestelmiä käytössä, Hyppönen toteaa.

Sama järjestelmä voi toimia eri nimellä, tai sen koko olemassaolo on voinut jäädä piiloon erilaisten välikäsien alle. Yritykset fuusioituvat, jolloin järjestelmiä yhdistellään ja ennen internetistä irti ollut järjestelmä voikin yhtäkkiä olla kiinni verkossa.

Muun muassa näistä syistä kylmälaitteisiin kohdistuneet verkkohyökkäykset ovat jatkuneet useiden viikkojen ajan.

Suomessa vahingot näyttävät jäävän vähäisiksi, mikä viittaa siihen, että järjestelmistä löytyneet aukot alkavat olla paikattuja.

Musta lokakuu saanee jatkoa

Tietoturvan kunnossa pitäminen alkaa kuitenkin olla päivä päivältä vaikeampaa. Tietoturvapiireissä viime kuu sai nimekseen musta lokakuu.

Nimi ei johdu sulaneista peruna-sipulisekoituksista vaan siitä, että tekoälyjärjestelmien kyky löytää ja yhdistellä haavoittuvuuksia on noussut tasolle, joka haastaa puolustajat.

Viime viikolla miljoonia verkkosivuja suljettiin, kun tutkijat olivat tekoälyn avulla löytäneet PHP-ohjelmointikielestä kriittisiä haavoittuvuuksia.

Tekoäly mahdollistaa uusien aukkojen etsimisen tavalla, joka ei ennen ollut käytännössä mahdollista. Samalla se antaa hakkereille kyvyn ketjuttaa haavoittuvuuksia ja automatisoida hyökkäyksiä.

– Minä uskon, että tästä eteenpäin joka kuukausi on black vielä pitkän aikaa, Hyppönen ennustaa.

Jossain vaiheessa tilanne helpottaa, kun tekoälyn avulla on saatu bugit korjattua vanhoista koodeista. Välivaiheesta tulee kuitenkin Hyppösen mukaan ”helvetillinen”.

Hyppönen huomauttaa, että tietoturvahaavoittuvuudet ja bugit eivät koske vain tietokoneita.

– Ne koskettavat meidän yhteiskuntaa ja koko infrastruktuuria, hän sanoo.

Hyökkäyksen motiivi yhä hämärän peitossa

Hyppönen huomauttaa, että kylmälaitteisiin kohdistunut kyberhyökkäys on ollut lopulta melko yksinkertainen. Sen toteuttamiseen ei ole tarvittu tekoälyä.

Erikoiseksi tapauksen tekee se, että toistaiseksi kukaan ei ole ilmoittautunut hyökkäyksen tekijäksi.

– Se on hyvinkin erikoista, Hyppönen toteaa.

Kun hyökkääjä ei ole selvillä, myös hyökkäyksen motiivi jää epäselväksi. Jos kyseessä olisi kiristysoperaatio, joku olisi esittänyt lunnasvaatimuksia.

– Raha ei ole motiivi, ja se on hämmästyttävää ja poikkeavaa, koska raha on ylivoimaisesti suurin motiivi, Hyppönen ihmettelee.

Hän ei myöskään usko, että taustalla olisi valtiollinen toimija. Ne keskittyvät yleensä vakoiluun ja sabotaasiin. Pakasteiden pilaaminen ei Hyppösen mukaan sovi valtiollisen toimijan repertuaariin.

Jäljelle jää kolmas vaihtoehto, eli yksittäinen henkilö, joka haluaa tehdä tuhoa ilman sen kummempaa syytä tai hyötyä. Tämäkin on erittäin harvinaista. Ainakin toistaiseksi.