В интервью журналу Vice в конце 2016 года создатель поисковика по IoTShodan Джон Мэтерли рассказал, что в течение года ему, используя поисковик, удалось обнаружить уязвимости и подключиться к ускорителю элементарных частиц во Франции, многомегаваттной гидроэлектростанции в Китае, англо-американской единой сети суперкомпьютеров, объединяющей министерства энергетики двух стран, АНБ и британский Центр электронной разведки. Ему удалось выяснить, что эти уязвимости существовали на объектах в течение от 6 месяцев до 2,5 лет, и службы информационной безопасности не обнаружили за этот период уязвимости и утечки.

Согласно публикации газеты Times три поисковых системы по IoT, в т. ч. Shodan, Censys и Thingful, в 2017 году обнаружили в Великобритании более 500 тыс. устройств IoT, обладающих критическими уязвимостями, которые позволяют не только получать информацию с этих устройств, но и взять их под управление. Наиболее уязвимыми в Великобритании являются оснащенные IoT камеры видеонаблюдения в частном секторе, домашние системы отопления, бытовые холодильники и гаражные ворота.

ISASA (Ассоциация аудита и контроля информационных систем) несколько лет назад провела глобальный опрос о рисках IoT среди специалистов IT Англии и Уэльса. Выяснилось следующее. 44 % отметили, что в 2016-2017 годах в их организациях уже имели место случаи нарушения безопасности с использованием IoT устройств, 85 % уверены, что это случится в ближайшие год-полтора, а 84 % отметили, что наиболее опасными для частного бизнеса являются уязвимости, присущие только IoT устройствам.

Исследователи из Университета имени Бен-Гуриона (Израиль) нашли в 2018 году в IoT ошибки, которые можно использовать для того, чтобы управлять системой «умного полива» со стороны. Получив контроль над большим количеством дождевателей, злоумышленник может израсходовать запасы воды в целом городе. По оценкам авторов, 1355 захваченных разбрызгивателей хватит, чтобы опустошить стандартную водонапорную башню в течение часа, а резервуар объемом 400 тысяч кубических метров за ночь могут исчерпать 23866 устройств.

Наша зависимость от технологий растет намного быстрее, чем способность обеспечивать от них защиту при использовании криминалом и террористами. Соответственно, вне зависимости от стараний полиции и спецслужб количество и ущерб от киберпреступлений с использованием IoT будет в ближайшие годы неуклонно нарастать. Однако это – только часть проблемы. Вторая заключается в следующем. Известно, что чем больше устройств в сети, и чем более переплетены сети, тем выше риск случайных отказов, возникновения неисправностей, которые могут привести к веерным отключениям. Специалисты по информационной безопасности полагают, что на горизонте двадцатых годов размеры и темпы увеличения сети Интернета всего будут столь велики, что неизбежно приведут к крупномасштабным катастрофам даже без вмешательства преступников и террористов. Это, кстати, открывает для последних дополнительные лазейки. У них возникает непреодолимый соблазн осуществить злонамеренные действия в сети, маскируя их под технические неисправности.

Производители, особенно импортеры, игнорируют ответственность перед покупателем. Например, китайский производитель игрушек никогда не будет продавать плюшевых мишек с иголками внутри, а корейский производитель автомобилей не выпустит автомобиль без тормозов. Если же на рынок поставляются плюшевые мишки с IoT или автомобили с IoT устройствами, то такая ситуация не просто вероятна, а уже имеет место в реальности. Например, из-за недостаточной информационной безопасности японских автомобилей в Великобритании в 2017 году преступной группе в составе индийских математиков и украинских программистов, действующих по заказу британских преступников, удалось перехватить управление шестью автомобилями. В результате несколько человек были убиты и получили тяжелые травмы. Автомобиль с IoT стал орудием убийства.

Существуют три ключевых триггера наращивания угроз и рисков со стороны Интернета всего в повседневной человеческой жизнедеятельности, управлении государствами и функционировании бизнеса. Первый, о чем говорилось выше, это – темпы и масштабы наращивания IoT и в целом Интернета всего. Второй – на порядок худшее, чем в корпоративном и потребительском Интернете (привычном нам Интернете), состояние с информационной безопасностью. Это относится как к программам, встроенным в девайсы IoT, так и к защите коммуникации девайсов с серверами обработки данных. Третий – это синхронизация устройств IoT со смартфонами, которые в свою очередь практически беззащитны перед хакерами, киберкриминалом и террористами. Девайсы – это распахнутые настежь для деструктивных сил ворота в IoT.

Эксперты США, Великобритании и ЕС выделяют несколько основных направлений использования IoT преступниками:

– использование IoT уязвимостей для вымогательства и шантажа. Развитие атак на устройства IoT во многом напоминает историю ранних атак на классические компьютеры, серверы и гаджеты. Используются наиболее вопиющие уязвимости и для атак применяется недорогой покупной софт. Очевидно, что в ближайшее время можно ожидать появления такого неприятного явления, как вымогательское ПО, нацеленное на IoT системы – компоненты умных домов, инфраструктуру умного города, публичного транспорта, робототехнических линий и т. п. Учитывая опыт классических IT систем, атаки с использованием вредоносных программ-вымогателей, действующих через IoT, могут быть весьма прибыльными для киберпреступников;

– использование уязвимостей IoT для промышленного шпионажа и криминальной разведки. Плачевное состояние дел с информационной безопасностью IoT открыло киберпреступникам возможность использования IoT устройств как ворот в «хорошо защищенные корпоративные, муниципальные и федеральные сети».

Наибольшим уровнем уязвимости обладают системы видеонаблюдения и как это ни парадоксально системы охраны периметра предприятия. Эти уязвимости, как правило, используются для проникновения в корпоративные системы и кражи оттуда документации, интеллектуальной собственности, файлов с юридическими и бухгалтерскими документами.

Наличие многочисленных уязвимостей в IoT устройствах делает IoT сети, соединяющие эти устройства, желанной добычей для киберпреступников. Они превращают такие сети в распределенные зомби-компьютеры. Эти зомби-сетевые компьютеры используются для DDoS атак на сайты и платформы в традиционном Интернете.

– использование IoT устройств для совершения тяжких криминальных преступлений. Поскольку одной из наиболее насыщенных IoT устройствами сферой является личный транспорт, то преступники используют уязвимости IoT устройств в автомобилях для перехвата управления ими с последующим инициированием катастроф.

Главная опасность бытового IoT – это использование уязвимостей IoT для проникновения в частную жизнь граждан. Согласно создателю поисковика Shodan в 2017 году при помощи этого поисковика можно было обнаружить уязвимости у родительских видеокамер в более чем 300 тыс. британских семей, подключиться к этим камерам и наблюдать домашнюю жизнь семей и их взаимоотношения с детьми.

The New Times в 2018 году опубликовала отчет о преследованиях и домашнем насилии через устройства, подключенные к Интернету. Преследователи, или, как их еще называют, абьюзеры (эмоциональный насильник) используют их не только для слежки за своими жертвами. Они меняют коды дверей, включают и выключают свет и повышают температуру термостата до невыносимого состояния. Их цель – сделать своих жертв максимально несчастными.

Стать жертвами домашнего насилия могут любые обладатели IoT устройств. Согласно статистике McKinsey, в 2017 году в 29 млн домов в США было хотя бы одно умное устройство. По данным WomenSY, уже несколько человек, обратившихся за помощью в эту организацию по борьбе с насилием, попали в психиатрические учреждения. Их расстройства связаны с тем, что умными устройствами в их доме кто-то манипулировал. Национальная горячая линия по борьбе с бытовым насилием сообщает: с каждым месяцем все больше людей звонят с параноидальными жалобами – кто-то управляет их домом. Люди теряют контроль над дверями, динамиками, термостатами, лампами и камерами.