От АЗС до аэропортов: кто на самом деле контролирует топливные резервуары?

Исследователи обнаружили серьёзные уязвимости в системах автоматического контроля резервуаров (Automatic Tank Gauge, ATG), которые могут привести к утечкам топлива, раскрытию данных и другим опасным последствиям на важных объектах, таких как заправки, аэропорты и военные базы. Системы ATG следят за уровнем топлива, предотвращая переполнения резервуаров. Однако выявленные уязвимости позволяют злоумышленникам получить полный доступ к этим системам.

Педро Умбелино, ведущий научный сотрудник компании Bitsight, отметил, что ATG широко используются на критически важных объектах, включая больницы и военные базы, где требуется резервное энергоснабжение. Некоторые уязвимости позволяют злоумышленникам отключить топливоснабжение и даже вызвать серьёзные экологические последствия, например, утечку топлива, остающуюся незамеченной из-за отключения системы оповещения.

Несмотря на предыдущие предупреждения, тысячи ATG всё ещё остаются подключёнными к интернету, что делает их лёгкой мишенью для кибератак. Согласно Умбелино, совместно с агентством по кибербезопасности США (CISA) и производителями, было обнаружено 11 уязвимостей в шести разных системах ATG. Некоторые компании уже выпустили обновления, но есть и такие, которые игнорируют проблему, подвергая людей риску.

Умбелино подчёркивает, что даже после установки патчей устройства должны быть отключены от публичного интернета. Большинство ATG изначально не предназначались для работы в сети, что и привело к таким уязвимостям. Физическое отключение от интернета — единственное надёжное решение, уверяет эксперт.

Уязвимости ATG позволяют злоумышленникам не только управлять процессами на объекте, но и вызывать серьёзные аварии. Например, изменение параметра максимальной ёмкости резервуара или отключение сигнализации может привести к неконтролируемому разливу топлива. Другие сценарии включают повреждение оборудования, утечку конфиденциальной информации или нарушение работы системы.

ATG-системы часто связаны с другими важными компонентами, такими как сирены и системы вентиляции. Контроль над ними открывает возможности для масштабных атак, которые могут иметь катастрофические последствия.

Угроза для критической инфраструктуры продолжает расти, особенно в условиях атак со стороны государственных хакеров. В последние годы такие кибератаки на жизненно важные системы значительно участились, и ATG также может стать новой целью злоумышленников.

Несмотря на серьёзность угрозы, массовых инцидентов пока не произошло, отмечают исследователи. Однако важно, чтобы компании не только исправляли уязвимости, но и внедряли более строгие практики безопасности, чтобы минимизировать их возникновение в будущем.