Een instantie van de Amerikaanse overheid heeft nutsbedrijven en eigenaren van industriële controlesystemen (ICS) gewaarschuwd voor systemen die via internet toegankelijk zijn en waarvan het inloggedeelte onvoldoende beveiligd is.

Aanleiding zijn drie incidenten, waarbij er twee systemen werden overgenomen. De waarschuwing is afkomstig van het Industrial Control Systems Cyber Emergency Response Team (ICS-CERT), dat onderdeel van de Amerikaanse overheid is. "Systemen die aan het internet hangen zijn de afgelopen jaren een serieus probleem geworden, waarbij vereisten voor remote acces voor onveilige en kwetsbare configuraties zorgen", zo stelt ICS-CERT in een nieuw rapport.

Volgens de organisatie kunnen zowel onderzoekers als aanvallers door zoekmachines zoals SHODAN en Google op eenvoudige wijze ICS-systemen vinden waarvan het niet de bedoeling was dat ze op internet werden aangesloten. In veel gevallen blijken deze systemen ook niet van adequate authenticatiemechanismen te zijn voorzien, waardoor de kans dat een aanvaller het systeem kan overnemen toeneemt.

Zo werd onlangs nog een Amerikaans nutsbedrijf gecompromitteerd door een aanvaller die toegang tot het controlesysteemnetwerk wist te krijgen. De software die toegang tot het systeem gaf was via het internet toegankelijk en gebruikte een eenvoudig wachtwoordmechanisme. De gebruikte authenticatiemethode was echter kwetsbaar voor een standaard brute force-aanval, waardoor de aanvallers konden inloggen.

Incidenten

Een ander incident vond plaats bij een controlesysteem dat een mechanisch apparaat aanstuurde. Een aanvaller had toegang tot de controlesysteemserver weten te krijgen. De server was direct via het internet toegankelijk en was niet door een firewall of toegangscontrole beschermd. Het mechanische apparaat dat via het controlesysteem werd bestuurd was vanwege onderhoud op het moment van de aanval losgekoppeld.

Het derde incident betrof een onderzoek van beveiligingsonderzoeker Billy Rios. Die ontdekte dat een energiemanagementsysteem van de Sochi Arena zonder authenticatie via het internet kon worden benaderd. Het probleem werd in samenwerking met de onderzoeker nog voor de Olympische Spelen opgelost. Het ICS-CERT adviseert nutsbedrijven om hun netwerk op systemen te controleren die aan het internet hangen en over zwakke authenticatie beschikken.