Aanvallers hebben vorig jaar april via een ongeautoriseerde Raspberry Pi toegang tot systemen van NASA's Jet Propulsion Laboratory (JPL) gekregen. De mini-computer was zonder toestemming aangesloten op het netwerk van de ruimtevaartorganisatie, dat ook onvoldoende segmentatie toepaste.

Hierdoor konden de aanvallers, die tien maanden lang onopgemerkt bleven, zich eenvoudig tussen verschillende netwerken bewegen. Uiteindelijk maakten de aanvallers zo'n 23 bestanden buit, die bij elkaar zo'n 500 megabyte groot waren. Twee bestanden bevatten informatie over de Marsmissie van het laboratorium. Tevens wisten de aanvallers toegang tot twee van de drie primaire JPL-netwerken te krijgen.

Het nieuws komt voort uit onderzoek dat de NASA Office of Inspector General (OIG) uitvoerde. JPL kreeg de afgelopen jaren met meerdere beveiligingsincidenten te maken en de beveiliging schoot op verschillende vlakken tekort, aldus de OIG. Zo hielden systeembeheerders niet altijd bij welke systemen werden aangesloten en was het mogelijk om apparaten op het netwerk aan te sluiten zonder dat die eerst door securitypersoneel waren goedgekeurd.

"De aanval van vorig jaar april maakte misbruik van deze kwetsbaarheden toen de hacker toegang kreeg tot het JPL-netwerk via een Raspberry Pi-computer die geen autorisatie had om op het JPL-netwerk te zijn aangesloten", aldus de rekenkamer van de NASA, die opmerkt dat de eigenaar van het apparaat eerst toestemming had moeten krijgen. Verder bleek uit het onderzoek dat beveiligingsupdates niet tijdig werden geïnstalleerd en systeembeheerders geen voldoende securitytraining kregen. Ook waren er geen effectieve incident response procedures uitgerold.

In de conclusie stelt de NASA OIG dat de gevonden kwetsbaarheden in de systemen de mogelijkheid van het JPL om cyberaanvallen op de eigen systemen en netwerken te voorkomen en detecteren verminderde. Verschillende van deze problemen werden ook bij de aanval van vorig jaar april gebruikt. Volgens de rekenkamer moet NASA meer toezicht op het JPL houden en dienen de security-controls van het lab te worden versterkt (pdf).