Капитан Кристоф Шефер подчёркивает, как эволюционирует угроза кибербезопасности суперяхт.
Как и мои коллеги в яхтенной индустрии, я остро осознаю уязвимость наших бортовых ИТ-систем. Но я считаю, что все мы, в некоторой степени склонны игнорировать тот факт, что для защиты можно сделать больше. Незнание или самоуспокоенность? Или это просто тот случай, когда мы просто не понимаем, как защитить себя от угроз, воображаемых или реальных?
Насколько реальны угрозы и какой ущерб может быть нанесён яхте? Сколько можно списать на запугивание — на то, что некоторые недобросовестные операторы легко наживаются на предполагаемой угрозе? А как же страх перед обнародованием нашей частной жизни, промышленный шпионаж и связанные с ним финансовые потери? Полагаю, здесь есть всего понемногу.
Наше самоуспокоение в этих вопросах вызвано чувством меньшей уязвимости, как в Apple. Преимущество продуктов Apple заключается в том, что на них работает безопасная ОС. Apple использует относительно ограниченную платформу, поэтому внедрение вредоносных программ не только сложнее, но и менее эффективно, поскольку доля Apple на рынке очень мала.
На сегодняшний день на компьютерах Mac не обнаружено вирусов, которые являются самовоспроизводящимися вредоносными программами, обычно называемыми вирусами. Но насколько реально внедрить вредоносное ПО на iPhone, ясно продемонстрировала атака на iPhone X Джеффа Безоса.
Однако атакам подвержено не только программное обеспечение. Не менее серьёзной проблемой является прямая атака на оборудование, например, использование пикосоты, установленной рядом с яхтой, в которую будет входить любое мобильное устройство GSM в роуминге, только для того, чтобы раскрыть все мобильные данные и сообщения злоумышленнику, прежде чем они будут зашифрованы и отправлены во всемирную паутину.
Подобная установка возможна с готовыми продуктами по цене менее 400 долларов и некоторыми знаниями в области ИТ. Хотя это выходит за рамки моих возможностей, существует огромное количество опытных ИТ-специалистов, которые могут легко провести такую атаку.
Угроза спуфинга GPS и взятия под контроль вашего навигационного программного обеспечения и органов управления двигателем, на мой взгляд, незначительна для яхт. Хотя это может быть реальным соображением для коммерческого судоходства, я считаю, что яхты на самом деле не являются многообещающей целью для такого рода атак.
Тем не менее, я должен признать, что меня поражает множество уязвимостей системы, которые просто кричат, чтобы ими воспользовались преступники. Например, это могут быть разведывательные сообщества десятков государств, считающих, что они заинтересованы в том, чтобы узнать, кто находится на их борту яхты и как ведется бизнес.
Итак, как мне защитить владельцев от незнания их команды? Насколько легко разместить рядом с лодкой дорогую камеру с SD-картой, заражённой вредоносным ПО, только для того, чтобы один член экипажа просматривал файлы на SD-карте с помощью бортового компьютера, внедряя вредоносные программы и обеспечивая точку входа в ИТ систему?
Хотя брандмауэры могут в определённой степени помочь нам в защите, бортовые пользователи, гости и команда имеют ограниченное представление о кибератаках. Фишинговые письма, заражённые документы и веб-сайты становятся всё более изощрёнными, и их трудно распознать.
Как я могу отслеживать техников AV/IT, прибывающих для ежегодного обслуживания системы AV? Разве этот специалист не является потенциально самой большой угрозой нашей ИТ-безопасности? Он часами взламывает AV-систему, настраивая iPad с дистанционным управлением для взаимодействия с AV-системой в роскошном интерьере.
Как мне следить за тем, чем он на самом деле занимается в дни на борту? Позволяет ли он встроенному микрофону и камере iPad записывать то, что говорится в каютах? Он устанавливает чёрный ход к роутеру, чтобы иметь возможность просматривать любые файлы на борту? Кто проверяет технических специалистов? Их работодатели? Насколько тщательна проверка данных своих сотрудников?
Как я могу отслеживать, какую работу они выполняли в бесконечные часы на борту? Если я обнаружу дизельного механика, копающегося в роскошном салоне, все сигнальные колокола сработают. Но знаю ли я, где техник AV бродит по судну, когда он якобы обновляет контроллеры Lutron?
Одно можно сказать наверняка: яхты были и останутся интересными целями для кибер-злоумышленников, будь то преступления, такие как промышленный шпионаж, или соображения безопасности, отслеживающие перемещение незаконных денег или лиц, представляющих интерес для разведывательного сообщества.
Есть много людей, у которых есть стимул подключиться к ИТ-сети яхт, и простых решений нет. Каждое решение должно быть адаптировано к конкретным потребностям и интересам клиента. Я обнаружил, что многие владельцы на удивление безразлично относятся к этому и на самом деле не заинтересованы в инвестировании соответствующей суммы денег в кибербезопасность.
Как человек работающий в морской отрасли, я считаю, что нам необходимо инвестировать значительные средства в образование. Обучение нашей команды, а также наших владельцев. Опыт Джеффа Безоса в 2018 году должен стать тревожным сигналом для всех владельцев, а также для команды — как, казалось бы, безобидное приложение к WhatsApp вызвало серьёзное затруднение на международном уровне.