Сканер с чёрным ходом
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи «Лаборатории Касперского» обнаружили потенциальную уязвимость в широко используемых сканерах штрихкодов. Через такое устройство злоумышленник теоретически может получить начальный доступ к компьютеру в складской сети, а затем попытаться проникнуть глубже — к данным и системам компании.
В исследовании проверяли, можно ли атаковать цифровую инфраструктуру склада через повседневные рабочие устройства. Уязвимость нашли у модели сканера крупного производителя, название которого не раскрывается. По данным исследователей, проблема может затрагивать устройства нескольких производителей.
Система состоит из ручного сканера и базовой станции, подключённой к рабочей станции или другой бизнес-системе. Они обмениваются данными через Bluetooth, но, как утверждают специалисты, между ними нет аутентификации — проверки, что соединяется именно доверенное устройство.
Теоретически атакующий может перехватить Bluetooth-трафик и узнать адрес базовой станции. Затем он способен отправить ей вредоносные данные, которые будут выглядеть как нажатия клавиш. Базовая станция примет их за действия сотрудника и передаст подключённому компьютеру или бизнес-системе.
Сам сканер в этой схеме — не конечная цель, а удобный вход. Получив доступ к компьютеру в сети склада, злоумышленник может изучать инфраструктуру, похищать конфиденциальную информацию или запускать вредоносные программы, включая программы-вымогатели. Это ПО блокирует данные или системы и требует деньги за восстановление доступа.
Руководитель службы промышленной безопасности «Лаборатории Касперского» Сергей Сидоров отметил, что современная розница и логистика зависят от цифровых систем — от платформ управления до устройств в руках сотрудников. Поэтому уязвимость даже одного подключённого устройства способна стать входной точкой для атаки на более широкую инфраструктуру. Компании в логистике и розничной торговле, по его словам, должны уделять кибербезопасности внимание на всех уровнях.
Аналогичный сценарий, считают исследователи, может применяться к другим складским устройствам — например, портативным терминалам сбора данных и термопринтерам. Через них можно попытаться добраться до систем управления складом (WMS) и связанной инфраструктуры.
Для снижения риска специалисты советуют проверять каждое новое устройство до подключения к сети, отключать неиспользуемый Bluetooth и требовать надёжную аутентификацию. Также рекомендуется разделять складскую сеть на сегменты, разрешать только необходимые соединения, своевременно устанавливать обновления на устройства и WMS, ограничивать права учётных записей и регулярно проводить комплексные проверки возможных путей атаки.
Оценить число уязвимых организаций пока невозможно: производитель и потенциально затронутые серии устройств не названы. Исследователи считают риск значимым, поскольку подобные сканеры широко применяются в логистике, торговле и других отраслях.
По приведённым в материале оценкам, мировые онлайн-продажи в этом году могут достичь 6,88 триллиона долларов — более 21,1% всех розничных продаж. Исследовательская компания Interact Analysis насчитывает в мире свыше 180 тысяч складов. Но зона риска не ограничивается ими: сканеры штрихкодов и портативные терминалы используют также магазины, заводы, больницы, фармацевтические предприятия и транспортные сети. Поэтому даже обычное рабочее устройство, подключённое к компьютеру, может оказаться слабым звеном в инфраструктуре самых разных организаций.
PEREC.RU
Цифровая безопасность любит торжественные слова: «защита периметра», «нулевое доверие», «комплексная стратегия». А потом выясняется, что в этот самый периметр годами впускали устройства, которые общаются с базой по Bluetooth без проверки, кто именно стучится. У инфраструктуры, как у старого дома, слабое место часто не бронированные ворота, а служебная дверь, которую все привыкли подпира́ть коробкой.
Особенно удобно, что сканер штрихкодов выглядит безобидно. Он не мигает красным, не требует отдельного кабинета и не произносит слово «киберугроза» — он просто помогает отгрузить коробку. В корпоративной логике это, видимо, достаточная причина подключить его к системе и надеяться, что техника сама воспитает в себе дисциплину.
Производитель и конкретные серии не названы, поэтому объявлять каждую кассу и каждый склад обречёнными было бы таким же способом распространять панику, как и самой атакой — только без Bluetooth. Но отсутствие точной оценки не превращает риск в выдумку: сканеры, терминалы и принтеры давно стали частью общей сети, а значит, их безопасность нельзя оставлять на уровне «оно же просто пищит».
Рекомендации звучат прозаично: проверять устройства, отключать ненужные интерфейсы, ограничивать права и разделять сеть. Никакого эффектного купленного «щитка от хакеров» — только регулярная работа, которую трудно продать как чудо и легко отложить до следующего бюджета. Именно здесь и начинается привычный корпоративный театр: руководство декларирует защиту, а потом экономит на проверке каждой мелочи, потому что мелочь не умеет красиво стоять на презентационном слайде.
Выгода у такой беспечности обычно краткосрочная: быстрее подключили, меньше потратили, отчёт закрыли. Счёт за последствия приходит позже и не обязательно от случайно аффилированного поставщика — иногда его выставляет собственная сеть, внезапно ставшая проходным двором. А когда цифровые системы охватывают склады, магазины, больницы и транспорт, цена ошибки выходит далеко за пределы одного неудачно считанного штрихкода.
И всё же не стоит назначать сканер злодеем. Он лишь показывает старую управленческую привычку: считать безопасность отдельной функцией, а не свойством каждого подключённого устройства. Пока бизнес видит в киберзащите приложение к инфраструктуре, а не саму инфраструктуру, любую «умную» экосистему будет охранять самый уставший сотрудник — и надежда, что никто не догадается нажать на клавиши за него.
