Esperto: Hackers Sistemi di controllo penetrante

Le reti che alimentano i sistemi di controllo industriale sono state violate più di 125 volte nell'ultimo decennio, con un conseguente decesso negli Stati Uniti, un esperto di sistemi di controllo ha detto giovedì.

Joseph Weiss, managing partner di Applied Control Solutions, non ha dettagliato la violazione che ha causato morti durante la sua testimonianza davanti a un comitato del Senato degli Stati Uniti, ma ha affermato di essere stato in grado di trovare prove di oltre 125 violazioni dei sistemi di controllo che coinvolgono sistemi nelle centrali nucleari, nelle centrali idroelettriche, nelle aziende idriche, nell'industria petrolifera e nell'agribusiness.

"Gli impatti hanno variato da danni ambientali di entità trascurabile a significativi danni all'apparecchiatura a decessi ", ha dichiarato al comitato del Senato per il commercio, la scienza e il trasporto. "Abbiamo già avuto un incidente informatico negli Stati Uniti che ha ucciso persone."

[Ulteriori letture: Come rimuovere il malware dal PC Windows]

In altre occasioni, Weiss ha parlato di benzina del giugno 1 rottura del gasdotto vicino a Bellingham, Washington. Quella rottura rovesciò più di 200.000 galloni di benzina in due torrenti, che accesero e uccisero tre persone. Gli investigatori hanno riscontrato diversi problemi che hanno contribuito alla rottura, ma Weiss ha identificato un guasto del computer nella sala di controllo centrale del gasdotto come parte del problema.

Potrebbe richiedere molto tempo agli Stati Uniti di scavare dagli attacchi coordinati sull'infrastruttura usando il controllo sistemi, Weiss ha detto ai senatori. L'attrezzatura danneggiata potrebbe richiedere diverse settimane per essere sostituita, ha affermato. Un attacco coordinato "potrebbe essere devastante per l'economia e la sicurezza degli Stati Uniti", ha affermato. "Stiamo parlando di mesi per il recupero. Non stiamo parlando di giorni".

L'industria dei sistemi di controllo industriale è indietro di anni nel settore IT nel proteggere la sicurezza informatica, e alcune delle tecniche utilizzate nella sicurezza IT danneggerebbero i sistemi di controllo, Weiss aggiunto. "Se esegui un test di penetrazione su un sistema di controllo industriale legacy, lo spegnerai o lo ucciderai", ha affermato. "Sarai il tuo hacker".

Parte del problema è che ci sono solo una manciata di fornitori di sistemi di controllo, e le loro architetture e password predefinite sono comuni a ciascun fornitore, ha detto Weiss. Inoltre, ci sono probabilmente meno di 100 esperti nel cybersecurity dei sistemi di controllo in tutto il mondo, e le università statunitensi non hanno curricula focalizzati sulla sicurezza informatica del sistema di controllo, ha aggiunto.

Gli attacchi provengono da estranei, ma anche da dipendenti o ex dipendenti, Disse Weiss. "Credo che la minaccia sia in aumento non solo a causa degli stati nazionali … ma perché la crisi economica ha creato molti antagonisti scontenti ma consapevoli", ha detto.

Weiss ha fornito tre esempi di casi riguardanti dipendenti insoddisfatti, incluso un recente caso in California, dove un dipendente ha disattivato i sistemi di rilevamento delle perdite in tre derrick petroliferi al largo della costa.

I senatori hanno chiesto una maggiore attenzione alla sicurezza informatica nel governo degli Stati Uniti e nell'industria privata. "È molto importante per le persone sapere che la sicurezza informatica non consiste solo nel proteggere le nostre reti governative da paesi con terroristi o hacker che vogliono i nostri segreti", ha dichiarato il senatore Jay Rockefeller, presidente della commissione democratica e del comitato elettorale del West Virginia. "Si tratta di proteggere le infrastrutture critiche della nostra nazione dagli attacchi cibernetici che potrebbero avere gravi ripercussioni sul commercio e sull'economia che sono assolutamente devastanti".

Troppi residenti statunitensi non pensano o non sanno degli attacchi informatici in atto, ha aggiunto Rockefeller.

Tuttavia, James Lewis, direttore del programma di tecnologia e politiche pubbliche presso il Centro di studi strategici e internazionali, ha anche invitato il Congresso a concentrarsi sulla sicurezza IT tradizionale oltre ai sistemi di controllo. In questo momento, la proprietà intellettuale negli Stati Uniti viene compromessa e tali perdite danneggeranno la competitività a lungo termine della nazione, ha affermato.

Mentre i sistemi di controllo rappresentano un potenziale di attacco, "siamo sotto attacco in questo momento", ha detto Lewis. "Mi preoccupo di più per la perdita di informazioni. In questo momento, siamo stati derubati da entità straniere della nostra tecnologia più preziosa, e dobbiamo smettere di farlo."