هک شدن 150 هزار دوربین مداربسته Verkada و پیامدهای آن

اخیراً خبری مبنی بر اینکه 150 هزار دوربین نظارت تصویری ساخت کمپانی Verkada مورد هجوم هکرها قرار گرفتند، منتشر شد که خبر بسیار مهمی است؛ حتی اگر دلیل اصلی این هک شدن، جلب توجه باشد؛ حتی اگر پیامد اصلی آن یک ضد تبلیغ برای آن کمپانی نظارت تصویری (و در بدبینانه ترین حالت، برای کل صنعت نظارت تصویری) باشد.

هدف این حمله، Silicon Valley startup Verkada بود که مجموعه ای از داده های تولید شده توسط 150 هزار دوربین نظارت تصویری نصب شده در بیمارستان ها، شرکت ها، دپارتمان های پلیس، زندان ها و مدارس جمع آوری کرده بودند. پیش از این حادثه، کمپانی Verkada به شیوه فروش بسیار خوب و بر هم زدن بازار نظارت تصویری سنتی معروف بود.

این نشت داده ها توسط یک مجموعه هکر بین المللی انجام شد و برای اولین بار، بلومبرگ آن را گزارش کرد. دلایل گزارش شده توسط بلومبرگ برای این هک عبارت بودند از «کنجکاوی زیاد، مبارزه برای آزادی اطلاعات و جنگ با مالکیت معنوی، مخالفت با نظام سرمایه داری، اشاره ای به آنارشیسم و نیز سرگرمی!».

تسلا در میان قربانیان این حمله سایبری

یکی از دلایل حمله به دوربین های بیمارستانی در فلوریدا، تنها سرگرمی بود. طی این حمله سایبری، تصویر هشت پرسنل بیمارستان هک شده بود که یک مرد بیمار را به تخت بسته بودند. تصویری نیز از داخل انبار تسلا در شانگهای چین هک شده بود که در آن کارگرانی در خط مونتاژ، مشغول به کار بودند. در داخل ایستگاه پلیس ایالت ماسچوست، افسران پلیس از شخصی که دستبند به دست بود، بازجویی می کردند. حتی تصاویری از دوربین های مداربسته Verkada در داخل مدرسه ابتدایی Sandy Hook نیز در ایالت Connecticut منتشر شد که در آن تصویر کشتار بیش از 20 نفر توسط یک تیرانداز در سال 2012 به چشم می خورد.

در یک بیانیه از «به روزرسانی حفاظتی»، کمپانی Verkada گزارش کرد: «متخصصان حفاظت داخلی ما فعالانه این موضوع را بررسی می کنند. با احتیاط فراوان، ما تدابیر امنیتی شدیدی را اجرا کرده ایم تا دسترسی به حساب ها را محدود نموده و از مشتریان خود محافظت بیشتری به عمل آوریم».

دلیل حمله سایبری، ویژگی داخلی دوربین ها

این گروه از هکرها قادر بودند به سیستم «روت» در دوربین ها دسترسی پیدا کنند. به گفته بلومبرگ، آنان می توانستند دوربین ها را استفاده کنند تا کد های خودشان را به اجرا درآورند. هکرها به بلومبرگ اعتراف کردند که با استفاده از این دسترسی، آنان به شبکه گسترده تر مشتریان Verkada دسترسی یافته، تصاویر دوربین ها را ربوده و آنها را به عنوان پلتفرمی برای هک های بعدی خود به کار بردند. دستیابی به این سطح از دسترسی به دوربین نیازمند هیچگونه هک دیگری نیست؛ چرا که این ضعف، یک ویژگی داخلی دوربین ها بوده است.

الیسا کنستانته (Elisa Costante) نایب رئیس تحقیقات در کمپانی حفاظت سایبری Forescout حادثه هک شدن دوربین های نظارت تصویری Verkada را «تکان دهنده» خواند.

وی اظهار داشت: «دوربین های متصل (به شبکه) باید لایه امنیتی اضافه ای را در اختیار سازمان هایی که آنها را نصب می کنند قرار دهند. با این حال، نشت داده ها در دوربین های نظارتی Verkada نشان داده است که اغلب عکس این مسئله صدق می کند. (جای نگرانی است که) این حمله حتی خیلی هم پیچیده نبوده و شامل سوءاستفاده از نقاط ضعف آشکار و پنهان نیز نشده است. هکرها تنها از ابزارهای احراز هویت معتبر برای دسترسی به داده های ذخیره شده در یک سرور ابری استفاده کرده بودند».

حساب کاربری ادمین اصلی به تمامی دوربین ها دسترسی داشت

هکر ها از طریق حساب کاربری «ادمین اصلی» به دوربین های Verkada دسترسی یافتند؛ حسابی که آنان را به دوربین های تمامی مشتریانشان هدایت کرد. به گفته بلومبرگ، آنان یک نام کاربری و پسورد مربوط به یکی از حساب های کاربری مدیریت را یافتند که در اینترنت در معرض دید عموم قرار داشت. هکرها دسترسی به داده های ویدئویی و آرشیوها را بعد از اینکه بلومبرگ به Verkada متصل شد، از دست دادند.

تأثیر وسیع تر روی صنعت نظارت تصویری

این نگرانی وجود دارد که تأثیر حادثه حمله سایبری نامبرده، تأثیر عمیق تری روی کل صنعت نظارت تصویری بگذارد. کریستین مورین (Christian Morin)، مدیر ارشد علوم و نایب رئیس بخش یکپارچه سازی و خدمات ابری در کمپانی Genetec اظهار داشت: «ما به عنوان یک صنعت و تولیدکننده در بخش حفاظت فیزیکی نمی توانیم اینگونه هک ها را نادیده بگیریم. تأثیر احتمالی چنین هک هایی بر روی سیستم های حفاظت فیزیکی از جمله ارائه سرنخی برای تسهیل هک های بعدی در شبکه ها، منجر به نشت داده ها و نقض حریم خصوصی یا دسترسی به سرمایه ها و زیرساخت های حساس و حیاتی خواهد شد. وظیفه و مسئولیت ما در قبال کاربران فناوری هایمان آن است که حریم خصوصی و حفاظت سایبری داده هایشان را هنگام تولید، توزیع و راه اندازی سیستم های نظارت تصویری خود، در اولویت قرار دهیم».