Supermercados em toda a Europa foram afetados por suspeitos ataques cibernéticos direcionados a frigoríficos e congeladores, levantando questões mais amplas sobre a segurança de equipamentos conectados à internet. Os dispositivos inteligentes podem incluir eletrodomésticos, sistemas de aquecimento e equipamentos industriais, todos os quais podem ser gerenciados remotamente quando conectados à internet.
O acesso à internet não significa automaticamente que um dispositivo possa ser facilmente controlado. Em geral, os grandes fabricantes investem bastante em segurança, embora já tenham sido encontradas vulnerabilidades em produtos conectados. Em 2015, pesquisadores demonstraram que uma falha em uma geladeira inteligente da Samsung poderia permitir a interceptação do tráfego da internet.
Não há evidências de que eletrodomésticos domésticos tenham sido alvo nos incidentes ocorridos nos supermercados. No entanto, Ciaran Martin, ex-diretor executivo do Centro Nacional de Segurança Cibernética do Reino Unido, afirmou que os fabricantes precisavam fazer mais para incorporar a segurança aos produtos conectados. Ele aconselhou os consumidores a instalar atualizações e ativar a autenticação multifator quando disponível.
A legislação britânica introduzida em abril de 2024 exige que os fabricantes de determinados dispositivos inteligentes para consumidores cumpram padrões mínimos de cibersegurança, incluindo regras sobre senhas e atualizações de segurança. O NCSC afirmou que estava trabalhando com parceiros internacionais e com o setor para entender os incidentes nos supermercados e que não tinha conhecimento de qualquer impacto no Reino Unido.
Pesquisadores da UK Cyber Defence identificaram mais de 800 interfaces de refrigeração e controle predial vinculadas a varejistas britânicos que podem ser acessadas pela internet pública. A acessibilidade pública não significa necessariamente que os sistemas possam ser invadidos, mas senhas fracas ou vulnerabilidades de software poderiam aumentar sua exposição a atacantes.
Os incidentes também concentraram a atenção sobre quem é responsável pela proteção dos equipamentos usados pelos varejistas. Tom Hegel, da SentinelOne, afirmou que as empresas precisavam estabelecer quem é responsável pela segurança desses sistemas, e não simplesmente quem os conserta. Ele alertou que a alteração de uma configuração de controle poderia danificar estoques físicos, transformando uma função comum, como o descongelamento, em um método de interrupção.
Os riscos potenciais vão além de lojas e residências. A tecnologia conectada é usada para gerenciar veículos, máquinas industriais, usinas de energia e redes de água. O especialista em cibersegurança Ken Munro citou uma demonstração de 2015 na qual pesquisadores acessaram remotamente um Jeep por meio de seu sistema de entretenimento conectado à internet, o que levou a melhorias na segurança dos veículos.
Munro afirmou que as empresas de serviços públicos do Reino Unido eram, em geral, eficazes na proteção de conexões remotas, embora os padrões variassem internacionalmente. Ele identificou como uma preocupação específica as empresas menores de serviços públicos, com pouco financiamento, que ainda podem depender de equipamentos mais antigos. Olivier Daloy, da Zscaler, afirmou que, sem proteções adequadas, qualquer fábrica ou infraestrutura conectada à internet, incluindo sistemas operados por fabricantes de automóveis, fornecedores de eletricidade ou redes de transporte, poderia enfrentar riscos semelhantes.
Fontes: BBC News World.