La gestione elettronica dei veicoli è una gran bella cosa, con tanti vantaggi, ma va fatta bene: se fatta male, può avere conseguenze catastrofiche e inattese. Un esempio in questo senso arriva nientemeno che dalla Cybersecurity and Infrastructure Security Agency del governo statunitense, che si occupa di sicurezza informatica delle infrastrutture ai più alti livelli.
Il CISA ha pubblicato un avviso a proposito della pericolosità di un dispositivo di tracciamento GPS con ricetrasmettitore cellulare molto usato dalle flotte di veicoli commerciali, l’MV720 della MiCODUS, che ha una serie di difetti informatici che possono permettere a un aggressore addirittura di prendere il controllo del veicolo, per esempio disattivandone l’antifurto e anche interrompendo l’erogazione di carburante oltre a tracciarne la posizione e i percorsi.
Fra questi difetti spicca un classico: una hardcoded password, ossia una password di amministrazione fissa e non modificabile, una sorta di passepartout, che permetterebbe a un aggressore di accedere al server di controllo e mandare comandi ai dispositivi di tracciamento tramite SMS.
Come se non bastasse, un altro difetto consente a un malintenzionato di mandare comandi SMS senza aver bisogno di autenticarsi. E poi c’è un’altra falla che permette di accedere ai dati degli altri utenti perché il server non verifica l’identificativo del dispositivo che viene inviato dall’utente. Il problema, quindi, rischia di riguardare tutti i dispositivi di tracciamento di questa marca.
Un vero disastro di incompetenza, insomma, che apre la porta ad attacchi di vario tipo: a parte quelli strategici o politici e ideologici, ci sono quelli del crimine informatico organizzato. Con falle di questo livello, un’organizzazione criminale potrebbe per esempio ricattare un’azienda di trasporti, minacciando di fermare tutta la sua flotta di veicoli se non viene pagato un riscatto, oppure acquisire i dati delle spedizioni e compiere furti mirati.
La scoperta è stata fatta dai ricercatori della società di sicurezza informatica statunitense Bitsight e descritta in un rapporto pubblico molto dettagliato, dopo aver tentato inutilmente di avvisare la casa produttrice del dispositivo, la cinese MiCODUS, e dopo aver comunicato il problema alle autorità governative statunitensi per la sicurezza informatica.
Circa un milione e mezzi di utenti privati e di aziende che usano questi dispositivi in quasi 170 paesi, compresi forze militari, agenzie governative e corrieri, a questo punto hanno una sola strada per eliminare il rischio: assicurarsi che i tracciatori non siano accessibili da Internet e usare accessi remoti sicuri, protetti da VPN. O, meglio ancora, rimuovere completamente questi dispositivi e sostituirli con alternative meno vulnerabili.
Il problema è ovviamente capire quali lo sono e quali no, ma grazie ai ricercatori adesso si sa che questo, perlomeno, è da evitare.