Nem a víztisztítómat törték fel először, hanem az okoshűtőmet. Hajnali 3-kor a képernyőjén lévő családi naptár letörlődött, és egy gyenge angol nyelvű üzenet jelent meg a helyén, amely 0,5 Bitcoint követelt. A jégkészítő kockákat kezdett dobálni a padlóra. A belső világítás villogott, mint egy néma riasztó. Az okosotthonom, az összekapcsolt kényelmi eszközök összessége, túszhelyzetté vált a saját konyhámban.

Egy pánikszerű, költséges hívás kellett egy kiberbiztonsági szakemberhez, hogy visszaszerezzék a készülékeimet. De az utolsó kérdése mélyebb hidegséget okozott a gerincemben, mint a padlón lévő jég: „Van ugyanarra a hálózatra csatlakoztatott víztisztítód?”

Megtettem. És hirtelen a legnagyobb félelmem a szennyezett vízről egy másfajta méregre váltott: a digitális szabotázsra.

Biztosítjuk a Wi-Fi-nket, frissítjük a laptopjainkat, és óvakodunk az adathalász e-mailektől. De könnyedén csatlakoztatunk egy olyan eszközt a hálózatunkhoz, amely közvetlen, fizikai ellenőrzést gyakorol egy létfontosságú erőforrás – a vizünk – felett, és amelynek biztonsága gyakran nem erősebb, mint egy gyerekjátéké. Egy feltört víztisztító nem csupán egy elromlott készülék, hanem a legintimebb szinten történő jogsértés.

A „digitális hűtőszekrény” sebezhetősége: A légtisztító támadási felülete

A kiberbiztonsági szakértőm egy táblán vonta le a párhuzamokat. A hűtőszekrényemhez hasonlóan a csúcskategóriás „intelligens” víztisztítóm is egy hálózatba kapcsolt számítógép egy műanyag burkolatban. Támadási felülete széles:

• Gyenge alkalmazás/felhőportál: A vezérléséhez vagy az adatainak megtekintéséhez szükséges bejelentkezési adatokat gyakran egy egyszerű jelszó védi, néha akár egy alapértelmezett jelszó is.
• Elavult, frissíthetetlen firmware: A legtöbb légtisztító „tüzelj és felejtsd el” típusú. A cég a kiszállítás napja után soha nem adhat ki biztonsági frissítést.
• Állandó adatfolyam: Folyamatosan telefonál otthonról – használati adatokat, szűrőállapotot és diagnosztikai információkat küld a gyártó szerverének. Ez potenciális adatszivárgás a háztartási szokásaiddal kapcsolatban.
• Fizikai vezérlőszelepek: Ez a legfélelmetesebb rész. Mágnesszelepekkel és szelepekkel rendelkezik, amelyekkel be- és kikapcsolható a vízáramlás, vagy elindítható a rendszer öblítése.

Egy rosszindulatú szereplő kezében ez nem elméleti kockázat. Ez egy terv a veszélyre.

Az elképzelhetetlen forgatókönyvek: A kellemetlenségtől a rémálomig

Lépjünk túl az elvont „adatvédelmi incidens”-en a kézzelfogható, hihető támadások felé:

1. A zsarolóvírus okozta zárolás: A legvalószínűbb forgatókönyv. A tisztító felületét zsarolóvírus zárolta. A képernyőjén vagy az alkalmazásban megjelenő üzenet fizetést követel a funkció visszaállításáért. Nem ellenőrizheti a szűrő állapotát, nem futtathat tisztítási ciklust, vagy szélsőséges esetekben a rendszer megtagadhatja a víz adagolását, túszul ejtve a hidratáltságodat.
2. A „szűrőcsalás” átverés: Egy hacker hozzáférést szerez a rendszer jelentéseihez. Meghamisítja a riasztást, miszerint minden szűrő és az RO membrán is kritikusan meghibásodott, és azonnali cserére sürget egy hamis (vagy rosszindulatú) üzlet linkjével, amely túlárazott, hamisított alkatrészeket árul. Kihasználják az eszközbe vetett bizalmadat, hogy átverjenek.
3. A rendszer blokkolása vandalizmussal: Egy szkript vagy támadó egy korrupt firmware-parancsot küld, ami véglegesen blokkolja a vezérlőpanelt. A gép egy halott, szivárgó papírnehezékként működik, amíg ki nem fizeted a teljes alaplap cseréjét.
4. Fizikai szabotázs (a legrosszabb eset): Egy mélyebb hozzáféréssel rendelkező támadó elméletileg szabálytalanul működésbe hozhatja a rendszer öblítő- és légtelenítő szelepeit. Ez vízütést okozhat – egy nyomáslökést, amely szétrepesztheti a szerelvényeket, és áradást okozhat a szekrényekben és a falakban. Ez nem a vizet mérgezi, hanem a készüléket teszi fegyverré, hogy megmérgezze az otthonát.

A 7 pontos digitális vízbiztonsági protokoll

A hűtőszekrényem meghibásodása után minden csatlakoztatott készülékhez, különösen a légtisztítómhoz bevezettem ezt a protokollt. Neked is ezt kellene tenned.

1. Izolálja el egy vendéghálózaton: Hozzon létre egy külön Wi-Fi hálózatot (a legtöbb modern router képes erre) kizárólag az IoT-eszközei számára. A légtisztítója, a lámpái és a hűtőszekrénye itt található. A laptopjai, telefonjai és a munkahelyi eszközei a fő hálózaton maradnak. Így a vendéghálózaton keletkezett behatolás megszűnik.
2. Alapértelmezett beállítások atomfegyvere: Módosítsa a tisztító alkalmazásának és webportáljának alapértelmezett felhasználónevét és jelszavát egy erős, egyedi jelszóra. Használjon jelszókezelőt.
3. Alkalmazásengedélyek ellenőrzése: A tisztító mobilalkalmazásában tagadja meg az ÖSSZES olyan engedélyt, amelyre nincs feltétlenül szüksége a működéséhez (helyszín, kapcsolatok stb.). Wi-Fi-kapcsolat szükséges hozzá. Igen.nemtudnod kell, hol vagy.
4. Ha lehetséges, tiltsa le a távoli hozzáférést: Az alkalmazás lehetővé teszi, hogy bárhonnan vezérelje? Ha csak otthon van rá szüksége, nézze meg, hogy van-e „Csak helyi hálózat” mód.
5. Ellenőrizd a fizikai „Wi-Fi kill switch” funkciót: Egyes modelleken van egy kis gomb a Wi-Fi letiltásához. Ha nem használod naponta az okosfunkciókat, kapcsold ki véglegesen a Wi-Fi-t. A buta légtisztító biztonságos tisztítószer. Állíts be manuális naptári emlékeztetőket a szűrőcserékhez.
6. Hálózat figyelése: Használjon egy egyszerű hálózatkereső eszközt (például a Finget), hogy megtudja, milyen eszközök csatlakoznak az otthoni hálózatához. Ha olyasmit lát, amit nem ismer fel, vizsgálja ki.
7. Tedd fel a nehéz kérdést vásárlás előtt: Amikor „okos” légtisztítót keresel, írj e-mailt a cég ügyfélszolgálatának. Kérdezd meg: „Mi a sebezhetőségi szabályzatuk? Milyen gyakran adnak ki biztonsági javításokat a csatlakoztatott eszközeikhez?” A válasz a nem válasz.