Пользователь «Хабра» подключился к сети РЖД и получил доступ к камерам и внутренним сервисам компании Статьи редакции
В РЖД отрицают утечку данных и обещают провести расследование.
Пользователь «Хабра» под псевдонимом LMonoceros рассказал, как ему удалось подключиться к сети РЖД и получить доступ к изображениям с камер наружного наблюдения и внутренним сервисам компании. Сделал он это ненамеренно — пользователь пытался проверить, как много пользователей не закрывают доступ в сеть через свой роутер.
По словам автора, с помощью утилиты nmap он запустил поиск по диапазону адресов по порту 8080 и обнаружил незащищённый роутер, через который можно попасть во внутреннюю сеть РЖД.
Пользователь утверждает, что часть сетевого оборудования компании либо не защищена паролями, либо на нём стоят простые пароли по умолчанию. Получить доступ можно к большинству камер наружного видеонаблюдения и установленным в офисах — всего, «по скромным ощущениям» автора, около 10 тысяч устройств.
Кроме того, пользователь смог получить доступ к IP-телефонам, FreePBX серверам, системам управления табло на перронах, системе управления кондиционерами и вентиляцией, а также «чему-то похожему» на мониторинг состояния систем обеспечения здания.
Пользователь считает, что камеры можно легко вывести из строя, достаточно заблокировать сетевой интерфейс. На это, по подсчётам автора статьи, у гипотетического злоумышленника уйдёт три дня. Примерный ущерб РЖД — 130 млн рублей при учёте средней стоимости одной камеры в 13 тысяч рублей.
При этом быстро заменить камеры у РЖД не получится, утверждает автор. «В резерве столько нет. Купить новые из-за обязанности объявления торгов также не получится», — заявляет он. По его словам, после такой атаки РЖД может остаться без системы видеонаблюдения на месяц.
Также автор отметил, что он не единственный, кто обнаружил эту уязвимость. Например, в настройках роутеров РЖД он нашел линки, которые встречал на других роутерах — не относящихся к оборудованию компании.
В пресс-службе РЖД опровергли утечку данных пользователей, пишет ТАСС. Компания заявила, что проводит расследование по публикации в открытом источнике данных, связанных с информационной безопасностью одного из подразделений холдинга.
В 2019 году доступ ко внутренней сети РЖД получил другой пользователь «Хабра» под псевдонимом keklick1337 — он взломал Wi-Fi в «Сапсане» и получил доступ к данным пассажиров.
вот работаешь ты такой сетевым админом, совершенствуешься в своем деле, семинары, вебинары, курсы бесконечные, циска-фигиска, ufw, iptables и думаешь... надо больше учиться, надо быть лучше, я не так хорош как чуваки которые сидят в больших компаниях на крупных проектах и рулят большими инфраструктурами и бюджетами. А потом вылазит что-то вот такое... В стиле админ у РЖД эникейщик, а сайт администрации города сделал сын главного бухалтера на джумле, распилив чемодан денег... И думаешь. б... а чего я до сих пор такой бедный?
На самом деле там вроде как ЗП у них никакая, вот и результат работы "специалистов".
В пресс-службе РЖД опровергли утечку данных пользователей
или говоря их языком #чеблягдеблядокажибля
А что плохого в Джумле? Многие сайты в мире, в том числе и серьезные проекты крутятся на Джумле/Вордпрессе.
да в принципе ничего, просто я лично считаю, что вещи с открытым исходным кодом и лицензией GNU GPL не очень подходят для работы публичных государственных сервисов и возможно с персональными данными граждан.
Код большинства фреймворков типа Симфони или Лары тоже открыт, и чё? Каждый раз свой велосипед изобретать? Бред.
велосипед не свой, а принадлежащий тем, кто по договору готов нести ответственность за его дырявость и возможные потери с ней связанные.
Почему?
В джумле плохо то, что "берем <тут название любой ЦМС, например Joomla>, заказываем дизайн в студии и тратим 100500 человеко-часов работы программистов чтобы сделать по сути функционал блога с комментами", зато все при деле, бабло распилено.
да тут каждый третий пост маркетолога или сайтобарыги примерно так и выглядит
в бюджете "разработка портала", а на деле - шаблон на движок натянул.
одно может стоить миллион, другое - не может.
А что такое по твоему "портал"? Новости раскиданные по категориям и прикрученный модуль комментариев? Это умеет любая элементарная CMS.
ну так её не разработали, а взяли бесплатную "искаропки"
И что? Работает? Работает. Свою функцию выполняет? Выполняет. Но конечно есть подход в духе "берем Симфони, заказываем дизайн в студии и тратим 100500 человеко-часов работы программистов чтобы сделать по сути функционал блога с комментами", зато все при деле, бабло распилено.
ну оно и так распилено, когда сын маминой подруги на джумле наговнокодил, а по бумагам - сам лебедев год разрабатывал портал