Știri
Știri din categoria Securitate cibernetică
Aproape 4.000 de controlere industriale din SUA sunt expuse pe internet, ceea ce lărgește semnificativ suprafața de atac pentru campanii atribuite unor grupuri de hackeri legați de Iran, cu efecte deja raportate în zona de infrastructură critică. Datele apar într-o analiză BleepingComputer, care leagă expunerea masivă de atacuri în desfășurare asupra echipamentelor Rockwell Automation/Allen-Bradley.
Atacurile vizează controlere logice programabile (PLC – echipamente folosite pentru automatizarea proceselor industriale) și, potrivit unui avertisment comun emis marți de mai multe agenții federale americane, grupuri susținute de statul iranian ar fi țintit aceste dispozitive începând din martie 2026. Avertismentul indică „perturbări operaționale și pierderi financiare” în urma incidentelor.
În același context, agențiile avertizează că intensificarea campaniilor APT (atacatori avansați, de regulă cu resurse și obiective strategice) ar putea fi legată de escaladarea ostilităților dintre Iran și Statele Unite și Israel.
Firma de securitate Censys a raportat că, din peste 5.200 de sisteme de control industrial identificate ca fiind expuse online la nivel global și care răspund la EtherNet/IP (EIP) și se identifică drept dispozitive Rockwell Automation/Allen-Bradley, 74,6% sunt în Statele Unite – adică 3.891 de gazde.
Censys mai indică faptul că o parte disproporționată a expunerii din SUA apare în rețele ale operatorilor celulari (ASNs), ceea ce sugerează dispozitive instalate „în teren” și conectate prin modemuri celulare – un scenariu care poate complica inventarierea și controlul accesului în mediile operaționale (OT).
Potrivit FBI, activitatea investigată a inclus:
Pentru apărare, recomandările menționate includ măsuri de bază, dar cu impact direct în OT:
Campania actuală urmează unor atacuri similare de acum aproape trei ani, când un grup asociat Gardienilor Revoluției (IRGC), urmărit sub numele CyberAv3ngers, a exploatat vulnerabilități în sisteme OT Unitronics din SUA. Atunci au fost compromise cel puțin 75 de PLC-uri, circa jumătate în rețele de infrastructură critică din sectorul apă și ape uzate.
Separat, BleepingComputer menționează și un incident mai recent atribuit grupului hacktivist Handala (legat de Ministerul iranian al Informațiilor), care ar fi șters aproximativ 80.000 de dispozitive din rețeaua companiei americane Stryker.
În lipsa unor detalii publice suplimentare despre organizațiile afectate în valul început în martie 2026, dimensiunea expunerii (mii de PLC-uri accesibile din internet) rămâne principalul indicator al riscului operațional și financiar pentru operatorii care folosesc astfel de echipamente.
Recomandate
Companiile din România riscă blocaje operaționale totale din cauza atacurilor cibernetice frecvente , într-un context în care „cele mai multe” nu sunt pregătite să gestioneze astfel de incidente, potrivit Știrile Pro TV . Miza nu este doar financiară: un atac poate opri complet activitatea unei afaceri. Publicația indică o statistică potrivit căreia în România au loc zilnic între 20.000 și 30.000 de atacuri cibernetice , iar țintele nu sunt limitate la companii: sunt vizate atât persoane juridice , cât și persoane fizice. Din perspectiva impactului asupra mediului de afaceri, vulnerabilitatea principală evidențiată este lipsa de pregătire pentru un incident: pe lângă pierderi de bani, consecința imediată poate fi blocarea completă a operațiunilor , ceea ce se traduce în întreruperea activității, întârzieri și imposibilitatea de a livra servicii sau produse. Materialul nu oferă detalii despre sectoarele cele mai afectate, tipurile de atacuri sau sursa exactă a statisticii menționate, însă semnalul de risc este legat de frecvența ridicată a incidentelor și de nivelul insuficient de pregătire în rândul companiilor. [...]
Atacul asupra sistemelor de monitorizare din benzinării arată cât de expusă rămâne infrastructura critică atunci când echipamente industriale sunt lăsate online fără parole , potrivit Biziday , care citează informații obținute de CNN de la oficiali apropiați anchetei din SUA. Ținta au fost sistemele automate de măsurare a rezervoarelor (ATG – echipamente care monitorizează nivelul de combustibil), folosite la mai multe benzinării. Hackerii au exploatat faptul că aceste sisteme erau conectate la internet fără protecție prin parolă și, în unele cazuri, au reușit să modifice afișajele digitale vizibile. Oficialii spun însă că atacatorii nu au putut modifica efectiv cantitatea de combustibil din rezervoare. De ce contează: risc de siguranță și potențial de perturbare Deși incidentele nu au produs pagube fizice, întreruperi majore sau panică, autoritățile americane avertizează că accesul neautorizat la astfel de sisteme poate deveni un risc serios de siguranță, în condițiile în care sunt considerate parte din infrastructura critică. Specialiștii citați arată că, teoretic, compromiterea unui ATG ar putea: să mascheze o scurgere de combustibil; să genereze alarme false privind o posibilă penurie, cu efecte operaționale și de percepție publică. Atribuire încă neconfirmată și context geopolitic Principalii suspecți sunt hackeri posibil afiliați Iranului, pe fondul istoricului de atacuri asupra infrastructurii energetice americane, dar oficialii precizează că nu pot lega deocamdată atacurile direct de Iran , invocând lipsa unor dovezi digitale clare. Dacă implicarea ar fi confirmată, ar putea urma o escaladare a tensiunilor dintre cele două părți. În același context, Biziday notează că țintele ar putea fi alese și pentru efectul social: amplificarea nemulțumirii publice pe fondul creșterii prețurilor la combustibil, asociată situației din Orientul Mijlociu. Publicația menționează un sondaj CNN potrivit căruia 75% dintre adulții americani spun că războiul din Iran le-a afectat negativ situația financiară. Un semnal vechi, repetat: sisteme industriale expuse direct pe internet Cazul readuce în discuție avertismentele vechi ale experților privind riscurile echipamentelor industriale conectate direct la internet fără măsuri adecvate de protecție. În plus, specialiștii susțin că activitatea cibernetică iraniană s-a intensificat în ultimele luni, vizând în special sisteme online din zona petrol, gaze și apă, iar SUA au mai atribuit în trecut atacuri similare unor grupări apropiate Gărzilor Revoluționare iraniene. [...]
Sisteme americane de monitorizare a combustibilului, folosite în depozite de gaze, au fost compromise , iar autoritățile și experți din sector suspectează o implicare iraniană, pe fondul unui tipar mai vechi de atacuri asupra infrastructurii critice, potrivit The Jerusalem Post , care citează un material CNN bazat pe mai multe surse. Este vorba despre sisteme „automatic tank gauge” (ATG) – echipamente care monitorizează nivelurile de combustibil din rezervoare. Conform informațiilor citate, unele dintre aceste sisteme erau conectate la internet și nu erau protejate prin parolă, ceea ce a permis atacatorilor să modifice valorile afișate. Sursele indică însă că hackerii nu au putut schimba efectiv nivelurile de combustibil, iar până acum nu au fost raportate pagube fizice sau victime. De ce contează: risc operațional, nu doar „defacement” digital Chiar dacă incidentul pare limitat la manipularea afișajelor, accesul la un ATG poate avea consecințe operaționale serioase. CNN, citată de publicație, notează că un atacator care controlează un astfel de sistem ar putea, teoretic, să oprească detectarea unei scurgeri de gaz, potrivit unor experți privați și oficiali americani. În termeni practici, vulnerabilitatea nu ține doar de integritatea datelor, ci de capacitatea operatorilor de a detecta și gestiona rapid incidente care pot escalada în probleme de siguranță și întreruperi de activitate. Atribuire dificilă, dar Iranul este „suspectul principal” Potrivit materialului citat, Iranul este considerat principalul suspect deoarece are un istoric de țintire a sistemelor ATG. Totuși, sursele avertizează că atacatorii au lăsat puține indicii, ceea ce face imposibilă o identificare definitivă pe baza informațiilor disponibile public. Publicația mai arată că grupuri de hacking asociate Iranului au interferat și cu alte sisteme de infrastructură din SUA, inclusiv unele care interacționează cu facilități din petrol și gaze și cu sisteme de apă, în contextul în care „mulți operatori” nu și-ar fi securizat corespunzător sistemele. Context: avertismente repetate și exemple de atacuri anterioare În sprijinul ideii că ATG-urile sunt o țintă recurentă, sunt menționate mai multe episoade: în 2015, sisteme ATG „mock” (simulare) puse online au fost vizate de un grup pro-iranian; în 2021, Sky News a citat documente interne ale Corpului Gardienilor Revoluției Islamice (IRGC) care ar fi indicat ATG-urile ca ținte potențiale; după atacul din 7 octombrie, hackeri afiliați IRGC ar fi pătruns în sisteme ale unor utilități de apă din SUA și ar fi afișat mesaje anti-Israel pe echipamente de management al presiunii; de la începutul războiului, hackeri asociați Iranului ar fi produs perturbări în site-uri din petrol și gaze și apă și ar fi întârziat transporturi la producătorul de dispozitive medicale Stryker. Separat, este menționat grupul Handala, descris ca fiind asociat Iranului, care ar fi publicat e-mailuri private ale directorului FBI Kash Patel; totuși, CNN (citată de publicație) susține că grupul și-ar fi exagerat realizările, iar compromiterea ar fi vizat doar un cont Gmail mai vechi, nu sisteme interne ale FBI. Ce urmează Potrivit informațiilor prezentate, cercetători în securitate cibernetică și guvernul federal au încurajat operatorii să își securizeze mai bine sistemele. Incidentul readuce în prim-plan o problemă de bază în infrastructura critică: echipamente conectate la internet fără controale minime (precum parole) pot transforma un atac informatic într-un risc de siguranță și continuitate operațională. [...]
O vulnerabilitate de design în Beamforming poate transforma routerele Wi‑Fi în instrumente de supraveghere , inclusiv fără compromiterea directă a echipamentului, potrivit unei demonstrații prezentate de Zonait . Miza pentru utilizatori și companii este operațională: aceeași infrastructură care îmbunătățește acoperirea wireless poate fi folosită pentru localizarea și urmărirea persoanelor aflate în raza rețelei. Cercetători de la Institutul de Tehnologie din Karlsruhe (Germania) arată că routere Wi‑Fi obișnuite pot fi „sparte” și echipate cu software clandestin, astfel încât să determine și să transmită în timp real locația relativă a utilizatorilor din aria de acoperire. Cum ajunge Beamforming să fie folosit pentru monitorizare Beamforming este un mecanism întâlnit pe majoritatea routerelor wireless recente, conceput pentru a crește stabilitatea și viteza conexiunii prin direcționarea selectivă a semnalului către dispozitivele conectate. Pentru a funcționa, routerul trebuie să estimeze poziția relativă a dispozitivului, folosind semnalizarea specifică acestui mecanism. Dincolo de dispozitive, demonstrația indică faptul că și corpul uman influențează undele radio din mediu, producând distorsiuni detectabile. În plus, caracteristici precum înălțimea, greutatea și compoziția corporală ar putea genera o „amprentă” distinctă în modul în care sunt absorbite undele radio, ceea ce ar permite diferențierea persoanelor și urmărirea mișcărilor în interiorul clădirilor, printr-o adaptare software la firmware-ul echipamentului. De ce contează: poate funcționa și fără „spargerea” routerului Un element cu impact direct asupra riscului este că monitorizarea ar putea funcționa și fără compromiterea prealabilă a routerului. Conform articolului, semnalele asociate Beamforming sunt necriptate, iar un dispozitiv de monitorizare aflat în același spațiu fizic (de exemplu, un Raspberry Pi cu software și conexiune radio) ar putea capta datele necesare, dacă este plasat discret. Ce au obținut cercetătorii în teste În testele descrise, echipa a lucrat cu 197 de voluntari și a raportat o precizie de identificare de 99,5%. Pentru asocierea „amprentei” radio cu identitatea reală (nume și alte detalii) ar fi necesare date suplimentare, cum ar fi un „ping” de la un telefon asociat anterior cu persoana respectivă. „Această tehnologie transformă fiecare router într-un potențial mijloc de supraveghere”, spune Julian Todt, unul dintre cercetători. „Dacă treceți în mod regulat pe lângă o cafenea care operează o rețea Wi‑Fi, ați putea fi identificat acolo fără să observați și să fiți recunoscut ulterior – de exemplu de către autoritățile publice sau companii.” Articolul nu indică măsuri concrete de remediere sau un calendar pentru criptarea semnalizării Beamforming; în lipsa acestor detalii, rămâne neclar în ce măsură riscul poate fi redus rapid prin actualizări de firmware sau schimbări de standard. [...]
Un atac de tip „supply chain” pe GitHub poate ajunge rapid la utilizatori prin pachete npm , după ce o campanie numită Megalodon a infectat peste 5.500 de depozite cu commit-uri malițioase, potrivit TechRadar . Miza operațională pentru companii este expunerea secretelor din fluxurile CI/CD (integrare și livrare continuă), care pot deschide acces la infrastructură cloud și la medii de producție. Cum funcționează atacul și de ce e greu de prins Cercetătorii SafeDep descriu Megalodon ca o campanie „inspirată” de TeamPCP , care pornește de la un commit malițios trimis de un actor ce se prezintă drept un „build-bot” (un cont care mimează un robot de build ce face modificări automate). Dacă un maintainer acceptă commit-ul, codul introduce un infostealer (malware care fură date) și începe să se propage către alte depozite „în stil vierme”, adică prin replicare automată. Ținta principală sunt secretele din pipeline-urile DevOps, adică acele chei și tokenuri care permit automatizărilor să acceseze servicii critice. Ce date sunt vizate: chei cloud, acces SSH și configurații DevOps În observațiile SafeDep, Megalodon a urmărit să colecteze, între altele: chei secrete AWS și tokenuri de acces Google Cloud; credențiale de tip „instance role” din AWS, Google Cloud și Azure; chei private SSH; configurații Docker și Kubernetes; tokenuri Vault și credențiale Terraform. Pentru organizații, compromiterea acestor date poate însemna acces neautorizat la resurse cloud, modificări în infrastructură și risc de extindere laterală în rețea. De la maintaineri la utilizatori: riscul de propagare prin npm În etapa inițială, expuși sunt în primul rând maintainerii de pe GitHub. Riscul se extinde însă către utilizatori dacă proiectele compromise sunt publicate mai departe în npm (registrul de pachete folosit frecvent în ecosistemul JavaScript), deoarece pachetele pot ajunge în aplicații ale terților. SafeDep oferă exemplul Tiledesk, unde versiunile 2.18.6 (19 mai) până la 2.18.12 (21 mai) „conțin backdoor-ul”, iar publicarea s-a făcut din aceeași cont npm ca și versiunea curată 2.18.5, fără ca atacatorul să fi preluat contul npm. Concluzia cercetătorilor: depozitul GitHub a fost compromis, iar maintainerul a publicat din sursa „otrăvită” fără să își dea seama. „Atacatorul nu a atins niciodată contul npm. Au compromis depozitul GitHub, iar maintainerul a publicat din sursa infectată fără să realizeze.” Context: copycat după TeamPCP și listă de repo-uri compromise TechRadar notează că Megalodon pare a fi un actor separat, de tip „copycat”, nu neapărat parte din inițiativa TeamPCP menționată de The Register, care a scris despre o „competiție” de atacuri asupra lanțului de aprovizionare (supply chain) pe Breach Forums. Lista completă a depozitelor compromise este publicată de SafeDep în raportul său (linkul indicat în articol). [...]
Trump Mobile a confirmat expunerea datelor personale ale clienților , inclusiv nume, numere de telefon și adrese, într-un incident care ridică întrebări despre obligațiile de notificare și despre controlul furnizorilor terți în operațiunile unui operator, potrivit GSMArena . Compania a confirmat pentru TechCrunch că pe site-ul său au fost expuse informații ale clienților: nume, numere de telefon, adrese de domiciliu și adrese de e-mail. Trump Mobile spune că investighează situația și că, până acum, nu a găsit dovezi privind o utilizare malițioasă a datelor. Ce spune compania despre cauză și responsabilitate Potrivit unui purtător de cuvânt al Trump Mobile, Chris Walker, expunerea ar fi fost legată de un furnizor de platformă terț care susține „anumite operațiuni Trump Mobile”. Furnizorul nu este numit în informațiile publicate. În același timp, compania susține că nu a existat o „breșă” (intrare neautorizată) în rețeaua, sistemele sau infrastructura sa. Contextul relatat indică însă că datele erau accesibile direct pe site, fără a fi nevoie de o compromitere tehnică a sistemelor. Ce urmează: posibilă notificare a clienților Walker afirmă că Trump Mobile „evaluează dacă trebuie să notifice clienții” în legătură cu expunerea datelor personale. Materialul nu precizează câți clienți ar fi fost afectați și nici perioada exactă în care datele au fost accesibile. Context: probleme în derulare în jurul Trump Mobile GSMArena notează că „saga” Trump Mobile continuă, inclusiv pe partea de hardware: primul smartphone al companiei, descris ca un HTC U24 Pro rebranduit (model lansat în 2024), ar fi trebuit inițial să înceapă livrările în august sau septembrie anul trecut, lucru care nu s-a întâmplat, iar acum livrările sunt prezentate ca fiind „iminente”. (Detaliile despre telefon apar în materiale separate ale publicației.) [...]
