何千ものガソリンスタンドをハッキングすることを可能にする深刻なセキュリティ上の欠陥

スペインの数百のガソリンスタンドと他の国の数千のガソリンスタンドは、サイバー攻撃に対して完全に脆弱であり、とりわけ、燃料タンクの安全性を危険にさらす可能性があります。セキュリティの専門家がバグを発見しました。最悪の事態:たとえば、スペインでは、当局も石油会社もまだ問題を解決していません。

セキュリティホールは、3月末にシニアコンピュータエンジニア兼セキュリティスペシャリストのアマドールアパリシオによって発見されました。Security by Defaultブログの記事で彼自身が詳しく述べている彼の発見は、心配でした。不注意や専門家の怠慢のために、多くのガソリンスタンドはインターネットに接続された独自のプライベートネットワークを持っており、深刻なことに、完全に保護されていません。キャッシュレジスターから燃料タンクの監視装置まで、すべてのシステムがこの内部ネットワークに接続されています。Aparicioは、ネットワークがインターネットに接続されており、データの送信が暗号化されていないだけでなく、重要なシステムへのアクセスが単純なパスワードとユーザー名で保護されていないことを発見しました。彼は入ることができた監視カメラや顧客に請求するPOSから、燃料タンク制御システムまで、キッチンまで。実際、最小限のコンピュータースキルを持っている人なら誰でも、ガソリンスタンドシステムに自由にアクセスして操作でき、非常に深刻な結果を招く可能性があります。

アマドールは、スペイン語ギズモドとの電話での会話でそれを説明しています

確かに良くありません。

アマドールは、インターネットに接続されたデバイス(ルーター、サーバーなど)を見つけることができる検索エンジンであるShodanでの検索に基づいて、問題を発見しました。彼は最初に、ガソリンスタンドで燃料タンクからオペレーターのPCにデータを送信するために使用されるコンバーターのタイプ(具体的には、GC-NET2 32-DTEタイプのイーサネットコンバーター)を検索しました。ビンゴ。彼はそれを使用したガソリンスタンドのリストを見つけました。

次に、これらのコンバーターのどれがTelnetサービス接続されているかを見つけて、ガソリンスタンドに物理的に行かなくても、タンクをリモートで監視しようとしました驚いたことに、これらのコンピューターがインターネットに接続されたガソリンスタンドが数十あり、さらに、ユーザー名やパスワードを使用していません。彼らはデフォルトのシステム設定を残していました。あなたがしなければならないのは、インターネットからマニュアルをダウンロードし、デフォルト設定が何であるかを見て、キッチンに行くことだけです」と彼は説明します。

言ってやった。彼は、すべての燃料タンク制御パラメーターとアラートを変更できる制御コンソールを簡単に開くことができました。以下は、Telnetサービスに接続され、セキュリティで保護されていない、誰でも完全に公開されているスペインのガソリンスタンドのシステムのスクリーンショットです(IPと重要な識別データがカバーされています)。

今週取得した別のスクリーンショットの下に、暗号化なし、パスワードとユーザーなしでインターネットに接続された燃料タンクのアラートの制御にアクセスし、完全に開いています。「トリガー入力」、「メッセージ」、または「優先度」フィールドを使用すると、緊急時にアラートを構成できます。

脆弱性を証明したのはアマドールだけではありません。プログラマー兼コンピューター技術者のハビエル・オルメドは、アパリシオの記事を読んで、自分で試してみることにしました。「検索したところ、スペインで完全に安全が確保されていないガソリンスタンドが少なくとも400か所見つかりました。タンクの監視に対して脆弱なものもあれば、リークのためにレベルを変更したりアラームを鳴らしたりすることを許可されたものもあれば(すべてが本当に正しいものでしたが)、セキュリティカメラやサーバーにアクセスすることもできました」とハビエルはスペイン語でギズモドにメールで説明します。

オルメドは、アマドールの発見が真実であるのと同じくらい心配であったことを段階的に確認することができました。「そして、タンクの脆弱性だけではありません」とアマドールは言います。

翻訳:本当の恥、ガソリンスタンドと同じくらい敏感なインフラストラクチャのセキュリティとプライバシーの混乱。

スペインには現在約10,600のサービスステーションがあります。Aparicioは、この障害が原因でコンピューター攻撃に対して脆弱なものがいくつあるかはわかりませんが、その数はかなりの数であると考えています。彼は影響を受けたガソリンスタンドの会社の名前を明らかにすることを好まないが、十分に言う:「彼らは国内の主要なものを含むほとんどすべての石油会社属している

発見後、アパリシオはスペインで市民警備隊の遠隔犯罪グループと連絡を取りました。さまざまな連絡を通じて、彼はそれをグループのキャプテンであるCésarLorenzanaの注意を引きました。しかし、一部の事務所のテーブルではその件が忘れられているようです。CivilGuardのTelematicCrimes Groupは、そのスポークスパーソンを通じて、この件に関する公式の苦情の記録がないことを保証します。

私たちは状況が何であるかを知りません。苦情を正式に記録するには、特定の手順で行う必要があります。おそらく、グループのメンバーは非公式に、私的な会話で異動しました」と、市民警備隊の遠隔犯罪グループのスポークスパーソンに電話で保証します。キャプテンCesarLorenzanaに何度も連絡を試みましたが、成功しませんでした。

驚いたことに、この問題は石油会社からも警告を発していません。スペイン語のGizmodoは、影響を受けたガソリンスタンドの中にレプソルとカンプサのサービスステーションがあることを確認できました。このような基本的で深刻なセキュリティホールが企業によって検出および修正されていない可能性はありますか?「私たちはすべての施設で最大限のセキュリティ対策を講じています」とレプソルの広報担当者は電話で話しました。

明らかに、答えは冗談である必要があります。セキュリティ違反は、必要なすべてのセキュリティ対策が整っていないことを正反対に確認します。「すべてのRepsolサービスステーションが私たちによって所有されているわけではありません。多くはフランチャイズです」と同社は説明します。それでも、彼らは彼のブランドの下にあります。基本的なセキュリティ監査手順はありませんか?そのような失敗をどのように説明しますか?「私たちは何もコメントするつもりはありません。」

官僚主義やイメージを保存しようとしている企業を超えて、現実ははるかに深刻で緊急です。現在、スペイン(および他の国)の何百ものガソリンスタンドのシステムはまだ破壊されており、それらを操作したい人は誰でも利用できます。彼らがそれを解決するまで、次にガソリンスタンドに行くときは覚えておいてください:誰かがあなたが支払ったばかりのカードからデータを盗んだり、セキュリティカメラからあなたを記録したり、あなたの足元の燃料タンクを操作したりしているかもしれません。

manuel@gizmodo.comで記事の著者に連絡してください

写真1:Alexandru Nika / Shutterstockによる写真上の構図写真2:プラコブ/シャッターストック

***

提案された投稿

テイドトンプソンの新しいSF物語からのこの抜粋で、壮大な宇宙の旅が待っています

テイドトンプソンの新しいSF物語からのこの抜粋で、壮大な宇宙の旅が待っています

カバーの収穫; 以下の完全な画像を参照してください。アーサーCからの最新。

光とBluetoothを備えたこれらのサイコロを使用すると、お気に入りのロールプレイングゲームでオンラインでロールバックできます

光とBluetoothを備えたこれらのサイコロを使用すると、お気に入りのロールプレイングゲームでオンラインでロールバックできます

クラップスは、卓上RPGの罪悪感の1つです。あなたは決して十分なものを持つことはできませんが、確かにこれらほど派手なものはありません。

関連記事

1回の遅延学生ローンの支払いがあなたに与える影響

1回の遅延学生ローンの支払いがあなたに与える影響

学生ローンの支払いが遅れたらどうなるのだろうと思ったことはありませんか?毎月、または数か月ごとに遅れるのではなく、一度だけですか?おそらく、サリーメイの担当者に叱られたり、壊滅的な料金が発生したり、すでに脆弱なクレジットスコアにすぐに打撃を与えたりすることを想像しています。そして、これらの支払い遅延シナリオはあなたの心の中で誇張されているかもしれませんが、それらのそれぞれに真実の塊があります。

体液をよりよく味わうために食べたり飲んだりするのに最適なもの

体液をよりよく味わうために食べたり飲んだりするのに最適なもの

プライベートパーツがチョコレートケーキや艶をかけられたドーナツのように味わうことは決してありません—そしてそれは大丈夫です。私たちの体の自然な匂いや味は人間のセクシュアリティの一部であり、あなたが健康である限り、宇宙があなたをどのように作ったかに問題はありません。

よく眠ってもいつも疲れているのはなぜですか?

よく眠ってもいつも疲れているのはなぜですか?

長時間寝て運動しても疲れを感じるのはよくあることです。そのエネルギー不足の通常の原因は、質の悪い睡眠、高ストレス、質の悪い食事、および2歳未満の子供です(これは、何らかの形で、上記のすべてに寄与しています)。

偽科学者と超常現象を屈辱と解体する世界を旅した男

偽科学者と超常現象を屈辱と解体する世界を旅した男

人が地球上の「突然変異体」と戦った時がありました。マーベルの外にX-メンがいないことを世界に証明した男は、彼はそれを非常に確信していたので、彼の超常的な力を発揮できる人に百万ドルを提供しました。

MORE COOL STUFF

防弾少年団FESTAから「防弾少年団ルームライブ」の視聴方法

防弾少年団FESTAから「防弾少年団ルームライブ」の視聴方法

6月10日、BTSは毎年恒例のBTS FESTAのお祝いの一環として、「BTSルームライブ」と呼ばれるコンサートを開催しました。ファンがコンサートを見る方法は次のとおりです。

トム・ヒドルストンが2011年と2021年のロキの最大の違いを明らかに

トム・ヒドルストンが2011年と2021年のロキの最大の違いを明らかに

トム・ヒドルストンはロキとしてのキャリアを振り返り、キャラクターについて最も変わった点を指摘します。

「ハンドメイドの物語」:サミラ・ワイリーは、シーズン4が続くにつれて、モイラとルークは6月に対して異なる反応を示すと述べています

「ハンドメイドの物語」:サミラ・ワイリーは、シーズン4が続くにつれて、モイラとルークは6月に対して異なる反応を示すと述べています

サミラ・ワイリーはラップに、ルークとジューンは「ハンドメイドの物語」でジューンの新しい性格を受け入れる方法が異なるだろうと語った。

「RHOC」シーズン16キャスト:タマラジャッジが新しいシーズンに望む役割のヒント

「RHOC」シーズン16キャスト:タマラジャッジが新しいシーズンに望む役割のヒント

タマラジャッジは昨年「RHOC」を去り、戻ってくると噂されています。リアリティ番組のスターは、返事を求められたら彼女がどのような役割を望んでいるかについて話している。

信じられないほどの歴史:第二次世界大戦の捕虜がナチス収容所でオリンピックを開催したとき

信じられないほどの歴史:第二次世界大戦の捕虜がナチス収容所でオリンピックを開催したとき

参加を許可されたポーランド軍将校にとって、ゲームは死と破壊の時代の人類の祝賀でした。しかし、これらのゲームは、今日まで、スポーツの素晴らしい癒しの力を示しています。

フランス、自由の女神の「Mini Me」をニューヨークに送る

フランス、自由の女神の「Mini Me」をニューヨークに送る

オリジナルの石膏模型から鋳造された 9 フィートのブロンズ像の自由の女神がアメリカにやってきます。これは、フランスとアメリカの長い友情に敬意を表しており、ニューヨーク市の独立記念日のお祝いのハイライトになります。

モース硬度による硬度のランク付け方法

モース硬度による硬度のランク付け方法

モース硬度スケールは、硬度試験を使用して鉱物を特定するのに役立つ方法として、地質学者やジェモロジストによって使用されます。それはどのように機能しますか?

子犬、ラット、子猫、死体: 臭みのあるフレンチ グルトン タッラールはすべて食べました

子犬、ラット、子猫、死体: 臭みのあるフレンチ グルトン タッラールはすべて食べました

タッラールの短くて不穏な生涯は、おそらくこれまで知られている中で最も奇妙で嫌な摂食障害の興味深い研究であり、約250年後も医学的謎のままです.

クリスティーナアギレラは、バージンホテルラスベガスグランドオープンのパフォーマンス中にブラックラテックスルックをロックします

クリスティーナアギレラは、バージンホテルラスベガスグランドオープンのパフォーマンス中にブラックラテックスルックをロックします

クリスティーナ・アギレラは、ヴァージンホテルラスベガスが主催する週末の一連の祝賀会のオープニングナイトで目覚ましいパフォーマンスを披露しました。

ジェイソン・モモアはドウェイン・ジョンソンと一緒に映画を作りたいと言っています:「最近の1つ」

ジェイソン・モモアはドウェイン・ジョンソンと一緒に映画を作りたいと言っています:「最近の1つ」

ジェイソン・モモアは、俳優のスケジュールが一致したら、友人のドウェイン・ジョンソンと一緒に映画を作りたいと言った

ジュディブルームペン夫の膵臓癌についての感情的なエッセイ:「浮き沈みがたくさんありました」

ジュディブルームペン夫の膵臓癌についての感情的なエッセイ:「浮き沈みがたくさんありました」

夫のジョージ・クーパーの膵臓がんの精神的および肉体的犠牲についてのジュディ・ブルームのエッセイの一部を読んでください

昨年3月にパンデミックタイムカプセルを離れてから435日後に飛行機で見つかったデルタパイロットのメモ

昨年3月にパンデミックタイムカプセルを離れてから435日後に飛行機で見つかったデルタパイロットのメモ

副操縦士のクリス・デニスは、パンデミック後に発見されるタイムカプセルとして意図された、北米でのCovid-19パンデミックの初期に駐車されたデルタ飛行機にメモを残しました

カオスで秩序を見つける:トルクを使用してパフォーマンステストを自動化する方法

カオスで秩序を見つける:トルクを使用してパフォーマンステストを自動化する方法

IPLは大ファンのフォローを目撃しているので、Dream11での決定的なイベントです。Dream11 IPL 2020の期間中、私たちは膨大な量のトラフィックを処理しました。

JavaScriptのcall()、bind()、apply()メソッドを最も簡単な方法で理解する!

JavaScriptのcall()、bind()、apply()メソッドを最も簡単な方法で理解する!

みなさん、こんにちは!この記事では、JavaScript メソッドの call()、bind()、および apply() の機能を理解しようとします。誰にとっても簡単にするために、簡単な例を使って理解しようとしています。

ソフトミソジニーとそれが職場に与える影響

ソフトミソジニーとそれが職場に与える影響

Abracadabraキャリアの早い段階で、私は学校の会議に座っていました。会議の途中で、校長は5分間の短い休憩を呼びました。

私自身の医療擁護者であることが私が前進するのにどのように役立ったか

自分が一番よくわかった

私自身の医療擁護者であることが私が前進するのにどのように役立ったか

私は最近、現在の神経内科医を訪ねました。私が去ったとき、私の欲求不満は腹立たしいものでした。

Language