Пользователь «Хабра» подключился к сети РЖД и получил доступ к камерам и внутренним сервисам компании Статьи редакции
В РЖД отрицают утечку данных и обещают провести расследование.
Пользователь «Хабра» под псевдонимом LMonoceros рассказал, как ему удалось подключиться к сети РЖД и получить доступ к изображениям с камер наружного наблюдения и внутренним сервисам компании. Сделал он это ненамеренно — пользователь пытался проверить, как много пользователей не закрывают доступ в сеть через свой роутер.
По словам автора, с помощью утилиты nmap он запустил поиск по диапазону адресов по порту 8080 и обнаружил незащищённый роутер, через который можно попасть во внутреннюю сеть РЖД.
Пользователь утверждает, что часть сетевого оборудования компании либо не защищена паролями, либо на нём стоят простые пароли по умолчанию. Получить доступ можно к большинству камер наружного видеонаблюдения и установленным в офисах — всего, «по скромным ощущениям» автора, около 10 тысяч устройств.
Кроме того, пользователь смог получить доступ к IP-телефонам, FreePBX серверам, системам управления табло на перронах, системе управления кондиционерами и вентиляцией, а также «чему-то похожему» на мониторинг состояния систем обеспечения здания.
Пользователь считает, что камеры можно легко вывести из строя, достаточно заблокировать сетевой интерфейс. На это, по подсчётам автора статьи, у гипотетического злоумышленника уйдёт три дня. Примерный ущерб РЖД — 130 млн рублей при учёте средней стоимости одной камеры в 13 тысяч рублей.
При этом быстро заменить камеры у РЖД не получится, утверждает автор. «В резерве столько нет. Купить новые из-за обязанности объявления торгов также не получится», — заявляет он. По его словам, после такой атаки РЖД может остаться без системы видеонаблюдения на месяц.
Также автор отметил, что он не единственный, кто обнаружил эту уязвимость. Например, в настройках роутеров РЖД он нашел линки, которые встречал на других роутерах — не относящихся к оборудованию компании.
В пресс-службе РЖД опровергли утечку данных пользователей, пишет ТАСС. Компания заявила, что проводит расследование по публикации в открытом источнике данных, связанных с информационной безопасностью одного из подразделений холдинга.
В 2019 году доступ ко внутренней сети РЖД получил другой пользователь «Хабра» под псевдонимом keklick1337 — он взломал Wi-Fi в «Сапсане» и получил доступ к данным пассажиров.
Вот трудно мне поверить в историю про одного политика-блоггера, фбс и яд и запись телефонного разговора с фсб-ником, но читаешь потом такие статьи и понимаешь, какой АД и некомпетентность в гос.структурах...
Пропаганда о том что всё государственное - лучшее внедряется с детства. Вот мы и пребываем в иллюзиях. А по факту - дыры в безопасности, плохо обработанный гульфик, Солсбери и тд
Я не верю в истории про "лучшее", скорее в то, что такого ада быть не может, так как он легко устраним: не обсужадать хер знает с кем по телефону фсб шную жизнь, менять дефолтные пароли на роутерах и так далее
Есть известный анекдот в тему: Все думают, что миром правит великая ложа, а на самом деле - обычная лажа.
Попробуйте представьте. Вы CIO компании федеральной. Ваши люди, набранные по городам и весям, ставят камеры. Подключают их через дешевые роутеры. У них есть инструкция менять пароли, но попробуйте продумать процесс, который позволит гарантировать, что на каком-нибудь полустанке между Кемерово и Ханты-Мансийском, сотрудник, нанятый по договору ГПХ, и которого вызвали в школу к оболтусу, действительно его поменяет.
Представьте, что когда что-то случится с камерой, и неохота ехать за 200 км, какой-нибудь специалист скажет: давай на заводские сбросим.
И вот если попробовать вообразить такой масштаб, попобовать глянуть на ситуацию глазами рядового работника, то станет понятно - что задача не имеет решения. А на живой и меняющейся сети - тем более :)
Имеет, в случае адекватных решений, таких как все оборудование, прошивается и администрируется в центре, а на точке надо вводить только логин и пароль, это ведь классическое решение, в случае поломки приходит новая или со склада
А представляете, все оборудование, камеры, микротики нужно свезти в Москву, а затем - несколько десятков тысяч развести по городам и весям. Это немалые деньги.
А зачем, это управленческое решение, в каждом крупном офисе РЖД, а их в каждом миллионнике есть ит отдел, даёшь инструкцию. Закуп в миллионнике не вижу не решаемой проблемы, это не я придумал это стандарт для всех крупных организаций, техника с уже установленным софтом развозиться уже десятилетия. И в каждой крупной организации есть регламенты, что самое сложное делается в центре. Остальное типа подключить уже прошитый роутер воткнуть железо а дырки на месте, как раз потому что дефицит кадров на местах.