Hak na europejskie zamrażarki i ślepe plamki na kablach: dwa fronty tej samej walki o infrastrukturę

Ostrzeżenie znalazło się w dorocznym przeglądzie NCSC, opublikowanym we wtorek. "Jest bardzo prawdopodobne, że w okresie od teraz do 2028 roku złośliwe oprogramowanie napędzane sztuczną inteligencją zostanie użyte w ataku ransomware na brytyjską infrastrukturę krytyczną" - podała agencja, cytowana przez The Guardian. Brytyjskie określenie CNI obejmuje energetykę, transport, obronność, żywność, ochronę zdrowia i finanse.

Richard Horne, dyrektor generalny NCSC, ma powiedzieć w wystąpieniu towarzyszącym przeglądowi, że "w nadchodzących miesiącach stajemy przed realną perspektywą bezprecedensowego wzrostu liczby incydentów cybernetycznych". Wini za to zdolność AI do wyszukiwania słabości w systemach informatycznych, które były "tolerowane zbyt długo". Przegląd stwierdza też, że Rosja i Chiny zaczną "rutynowo" wykorzystywać AI w atakach cybernetycznych.

To prognoza, nie obserwacja. NCSC nie wskazuje sprawcy poniższych incydentów.

Zamrażarki w 50C w siedmiu krajach

Najbardziej konkretne zakłócenie tygodnia wcale nie było napędzane przez AI. W poniedziałek sieci supermarketów w co najmniej siedmiu krajach Europy podały, że temperatura w lodówkach i zamrażarkach w części sklepów wzrosła w nocy do 50C (122F), informował The Guardian. Problemy zgłosili detaliści w Belgii, Estonii, Irlandii, Finlandii, Luksemburgu, Holandii i Szwecji. Kilku potwierdziło, że padło ofiarą ataku hakerskiego.

Była to druga taka fala w ciągu miesiąca. Atak we Francji w październiku przejął kontrolę nad układami chłodniczymi w nawet 700 supermarketach. Podniósł temperaturę do 50C i wywołał pożary oraz straty żywności szacowane na dziesiątki milionów euro. Christophe Hansen, unijny komisarz ds. rolnictwa i żywności, nazwał powtórkę incydentów "celową próbą zakłócenia naszego łańcucha dostaw żywności i podważenia zaufania konsumentów do niego".

"Zaczęliśmy mobilizować techników o 1 w nocy. Całą noc i cały poranek rozłączaliśmy dotknięte instalacje."

To Stephan Moelans, dyrektor generalny Sabcobel, który obsługuje systemy chłodnicze Delhaize, w rozmowie z belgijskim Le Soir. Ahold Delhaize podał, że lodówki i zamrażarki w dziesiątkach jego supermarketów w Belgii i Luksemburgu zostały zaatakowane. Reporterzy odwiedzający sklep na północny wschód od Brukseli widzieli puste półki i tabliczkę z przeprosinami "z powodu cyberataków".

Liczby różnią się w zależności od detalisty i relacje to odzwierciedlają, zamiast podawać jeden zbiorczy wynik. CNBC podało, że Colruyt Group stwierdziła, iż celem było pięć jego sklepów Spar w Belgii. Carrefour powiedział BBC, że zaatakowano 15 jego belgijskich sklepów, a Intermarché podał, że ucierpiało 15 z jego 153 sklepów w Belgii. IKEA powiedziała CNBC, że incydent cybernetyczny dotknął lodówki i zamrażarki w jej sklepie w Mons w Belgii między niedzielą a poniedziałkiem, z "ograniczonym wpływem" na restaurację i Swedish Food Market. ICA, największy detalista spożywczy w Szwecji, podał, że ucierpiała "ograniczona liczba sklepów" w sieciach poza jego systemami centralnymi. Fińska Kesko, irlandzka sieć Supervalu i estoński sklep One Selver również zgłosiły zakłócenia, według CNBC. Komisja Europejska podała, że jest w bezpośrednim kontakcie z władzami krajowymi. W poniedziałek rano zwołała posiedzenie międzyinstytucjonalnego zespołu zadaniowego z ENISA i Europolem.

Domyślne hasła, nie wielkie modele językowe

Mechanizm stojący za atakami na zamrażarki wygląda przyziemnie. Paul Chichester, dyrektor operacyjny NCSC, powiedział we wtorek, że incydenty nie były napędzane przez AI. Wykorzystano luki, które "istniały od dawna". Podal, że NCSC współpracuje z dotkniętymi organizacjami w Wielkiej Brytanii, gdzie krajowe skutki były minimalne.

The Guardian podał, że francuski atak wykorzystywał przestarzałą technologię podłączoną do internetu z domyślnymi hasłami. Xavier Bellekens, dyrektor generalny firmy cyberobronnej Lupovis, powiedział gazecie, że jego firma zarejestrowała 256 prób ataków z 91 różnych źródeł między 20 a 30 października. Celami były pułapki "honeypot" w internecie zbudowane tak, by wyglądać jak sterowniki chłodnicze Danfoss. Większość prób uwierzytelnienia wykorzystywała publicznie udokumentowaną fabryczną nazwę użytkownika i hasło producenta.

Brytyjskie Stowarzyszenie Niezależnych Dostawców Mięsa (Aims) powiedziało BBC, że ucierpiało kilku z jego ponad 300 członków. W jednej firmie układy chłodnicze nagrzały się do 100C, a dwie inne zgłosiły rozmrożenie. Aims podało, że układy były puste i nie utracono żadnych produktów.

Sformułowanie Horne'a na to wszystko to zdanie tygodnia. Ataki na zamrażarki to "przedgórze" większego zagrożenia, powiedział na prezentacji przeglądu. Metafora robi dużo roboty. Przyznaje, że to, co dotąd się stało, jest małe, jednocześnie przekonując, że teren przed nami jest gorszy.

Kable, których nikt nie podgrzewa

Tego samego dnia, gdy NCSC prezentowało przegląd, Tom's Hardware podał, że chiński statek badawczy krążący w pobliżu kabla podmorskiego zignorował filipińskie żądania wycofania się. Jednostka miała zignorować kontakt radiowy i nadać fałszywy identyfikator. Manewrowała, by uniknąć przejęcia, zanim Filipiny wysłały swój największy statek, który zauważono 37 mil morskich od prowincji Batanes.

Interweniował chiński statek straży przybrzeżnej, a Pekin później poskarżył się na nękanie, według South China Morning Post cytowanego przez Tom's Hardware. Nie ma potwierdzonych doniesień o chińskich atakach na kable podmorskie. Raport Center for Strategic and International Studies wykazał, że chińskie statki badawcze spędzają więcej czasu na krążeniu w pobliżu kabli niż jednostki jakiegokolwiek innego kraju. Think tank nazwał ten wzorzec "nieproporcjonalnym".

Mapowanie to nie przecinanie. Ale ta różnica traci znaczenie, gdy przyjąć, że pod obiema historiami leży ta sama klasa technologii operacyjnych. Ten sprzęt jest osiągalny zdalnie i często niezałatany. Szwedzkie krajowe centrum cyberbezpieczeństwa podało, że ustaliło, iż kraj ma "całkiem sporo odsłoniętych urządzeń technologii operacyjnych", które wymagają aktualizacji lub łatania. Jego szef John Billow powiedział Reutersowi, cytowany przez The Guardian.

Ollie Whitehouse, dyrektor ds. technologii NCSC, przedstawił we wtorek konsumencki koniec argumentu. Producenci potrzebują zachęt, by czynić podłączone urządzenia bezpieczniejszymi, a konsumenci muszą zaakceptować płacenie więcej za bezpieczniejszy sprzęt. To argument zakupowy ubrany w argument bezpieczeństwa i dotyczy sprężarki w supermarkecie tak samo jak routera.

Dostawcy się ruszają, podobnie jak atakujący

Komercyjne odpowiedzi nadchodzą w swoim własnym tempie. We wtorek Bull i Schwarz Digits, dywizja IT i cyfrowa grupy Schwarz, podpisały memorandum o porozumieniu, podał HPCwire. Chcą zbudować to, co opisują jako niezależny, bezpieczny europejski ekosystem AI i chmury. Plan umieszcza platformę Bull BullSequana AI w STACKIT Marketplace Schwarz Digits, z serwerami z fabryki Bull w Angers i bezpośrednim chłodzeniem cieczowym.

Emmanuel Le Roux, dyrektor generalny Bull, powiedział, że celem jest danie europejskim organizacjom możliwości, które "mogą wdrożyć i kontrolować". Memorandum obejmuje też wspólne projektowanie serwerów według standardów Open Compute Project, integrację z SAP RISE i prace badawcze nad komputerami kwantowymi. To memorandum, nie umowa, i nie ujawniono żadnych kwot.

Po stronie ofensywnej OpenAI podało we wtorek, że zatrudniło byłego sekretarza armii USA Dana Driscolla na nowe stanowisko starszego doradcy ds. modernizacji bezpieczeństwa narodowego, podał CNBC. Driscoll zrezygnował ze stanowiska sekretarza armii w tym roku po doniesieniach o napięciach z sekretarzem obrony Pete'em Hegsethem. Sam Altman powiedział, że USA mają "niezwykłą okazję, by współpracować z innymi krajami w szerzeniu adopcji demokratycznej AI".

OpenAI zwiększyło też czterokrotnie wypłaty w programie bug bounty, podał The Decoder we wtorek. Krytyczne luki w produktach takich jak ChatGPT czy Codex dają teraz zewnętrznym badaczom do 30 000 dolarów, wyjątkowe znaleziska do 100 000 dolarów, a z premiami około 172 000 dolarów. Podczas ostatniego wewnętrznego sprintu bezpieczeństwa 25 procent inżynierów produktowych OpenAI pracowało nad wyszukiwaniem luk, według firmy.

Nie każde włamanie jest dramatyczne. Tom's Hardware podał w poniedziałek, że w platformie do tworzenia w chmurze Brev firmy Nvidia między 4 a 20 października doszło do nieautoryzowanej aktywności, a klucze SSH mogły zostać ujawnione. Nvidia podała, że wymieniła klucze i zaktualizowała instancje klientów oraz nie znalazła dowodów na ich nadużycie. Nie wyjaśniła, jak atakujący weszli.

Co ten tydzień faktycznie pokazuje

Dwie rzeczy mogą być prawdziwe naraz. Ataki na zamrażarki były prymitywne, oparte na domyślnych danych logowania i starych błędach, i w większości przypadków zostały opanowane. Intermarché powiedział CNBC, że dzięki środkom bezpieczeństwa mógł szybko zareagować. Kilka sklepów poniosło straty zapasów "nic porównywalnego z atakiem w połowie października".

A prognoza NCSC pozostaje prognozą. Alan Woodward, profesor cyberbezpieczeństwa na Uniwersytecie Surrey, powiedział The Guardian, że AI może pomagać znajdować i łatać błędy, "ale jeśli nie zdobędziemy dostępu, ci źli zrobią to przed nami". Agencja przytoczyła jeden punkt danych o zdolnościach AI. W zeszłym miesiącu technologia pomogła odkryć krytyczną słabość w PHP, języku używanym przez prawie 70 procent stron internetowych na świecie.

Obraz kabli podmorskich jest trudniejszy do wycenienia. Żadne potwierdzone przecięcie nie jest powiązane z wrześniowym incydentem koło Batanes i żadnego potwierdzonego chińskiego ataku na kabel w ogóle nie ma. Istnieje wzorzec krążenia i ustalenie think tanku, że jest nieproporcjonalny. Filipińska straż przybrzeżna musiała też wysłać swój największy statek, by śledził statek badawczy.

Dla europejskich operatorów praktyczne przełożenie jest nieefektowne: inwentaryzacja. Fala ataków na zamrażarki rozprzestrzeniła się, bo układy chłodnicze były osiągalne z internetu z danymi logowania, które każdy mógł znaleźć. Ryzyko dla kabli rośnie, bo infrastruktura dna morskiego jest mapowana szybciej, niż jest chroniona. Żadnego z tych problemów nie rozwiązuje lepszy model.