Previous Story
Des hôpitaux et grandes enseignes ne protègent pas leur climatiseur
Un problème de sécurité touche les systèmes de contrôle de température fabriqués par la société Resource Data Management.
La société Safety Detective vient de dévoiler une fuite qui vise les systèmes de contrôle de température fabriqués par la société britannique Resource Data Management. Les systèmes de réfrigération de RDM sont utilisés par de grands groupes internationaux tels que Marks & Spencers ou encore l’Aérogare de Roissy ou encore la Gare de l’Est, à Paris. Plus important encore, des hôpitaux utilisent aussi ce type de matériel.
Ces systèmes de réfrigération peuvent être facilement piratés car comme le démontre Safety Detective. Du matériel qui utilise un protocole HTTP. Non sécurisé. pas de HTTPS. De plus, un grand nombre de propriétaires n’ont changé ni le nom générique, ni le mot de passe usine. mots de passe disponibles sur le guide d’utilisation en ligne.
Google, Shodan …
Les URLs de ces systèmes ont donc pu être utilisés en se servant d’une recherche Google. Pas besoin de créer d’identifiants ou mots de passe. Les chercheurs ont mené une recherche plus approfondie après que Resource Data Management ait annoncé qu’il ne s’agissait pas de réfrigérateurs mais de routeurs.
Le laboratoire découvre 319 établissements affectés dans le monde. 10 606 machines étaient toujours accessibles d’accès en ligne.
Altération des aliments possible
Cette étude dévoile une faille pouvant entraîner d’importantes pertes financières, une altération des aliments et des problèmes de santé.
Pour cette recherche, 7 419 sites sont remontés via le moteur de recherche Shodan. 2 215 URL fournissant le code d’état « OK200 » contrôlés. Il s’agissait de sites réels, et non des routeurs. 380 résultats en sont sortis. 319 sites ouverts. Les réfrigérateurs accessibles à quiconque bénéficiant d’un lien, y compris 10 hôpitaux au Royaume-Uni.
Les 24 premières URL de la liste : USA, Malaisie, France, Uk, Nouvelle-Zélande, Australie, Canada, Pays-Bas. Sur ces 24 sites, 798 machines impactées, soit 33,25 réfrigérateurs par site.
