Usinas nucleares podem ser hackeadas porque seus funcionários ainda usam pagers

Após o ataque de hackers à rede elétrica ucraniana em 2015, a cibersegurança de infraestruturas críticas é alvo de exames minuciosos mundo afora. Agora, de acordo com um desses novos relatórios de segurança, uma ameaça improvável está preocupando muita gente: os pagers.

Pois é: funcionários de usinas nucleares, fábricas de produtos químicos e de empreiteiras que prestam serviços à área de segurança nos EUA ainda se comunicam — ao menos em parte — com pagerzinhos que transmitem mensagens não-criptografadas, o que, claro, deixa essas instalações suscetíveis a ataques cibernéticos.

As informações transmitidas entre funcionários de usinas nucleares por meio desses aparelhos incluem diagnósticos de usinas, nomes, contatos e outros dados que, segundo os pesquisadores, podem ser usados para planejar um ataque de engenharia social.

"Como mensagens de pagers não costumam ser criptografadas, os hackers podem visualizá-las à distância. Tudo que eles precisam é de algum conhecimento sobre SDR ("Rádio Definido por Software", em português) e de um dongle de US$20", afirma o relatório escrito pela empresa de cibersegurança Trend Micro.

Durante os primeiros quatro meses de 2016, a Trend Micro analisou equipamentos e softwares de várias instalações do setor de infraestrutura dos EUA e do Canadá. Ao todo, verificou quase 55 milhões de pages (mensagens trocadas entre pagers), das quais um terço era alfanumérica (algumas páginas eram formadas apenas por toques ou informações númericas).

Os grandes culpados pelo uso intenso de pagers são os sistemas de alerta automático, que mandam avisos instantâneos para os funcionários.

"No decorrer do projeto, vimos vários sistemas utilizando pagers como forma de notificar os funcionários em caso de emergência. Esses alarmes podem dar informações sobre a planta do edifício, produtos em processamento e outras informações confidenciais que não deveriam ser vistas por ninguém fora da empresa", diz o relatório.

Muitas das mensagens, no entanto, foram escritas pelos próprios funcionários, em especial por aqueles que trabalham em usinas nucleares.

Como os pagers não costumam usar criptografia ou autenticação, um hacker pode facilmente inserir suas próprias mensagens numa conversa entre pagers, de forma que o alvo não possa identificar se os conteúdos vieram de uma fonte confiável ou não.

Quanto a quem gostaria de tirar proveito de tais fraquezas, há exemplos óbvios como agentes do estado interessados em sabotar ou colher informações sobre determinada infraestrutura. No entanto, o relatório afirma que órgãos privados também podem estar interessados nessas informações.

"Qualquer empresa, em especial aquelas que transmitem informações confidenciais por meio de pagers, deve estar atenta ao fato de que ela está inadvertidamente transmitindo informações cruciais sobre suas instalações", completa o relatório.

A Trend Micro recomenda que as empresas criptografem suas mensagens, usem autenticadores e tentem identificar qualquer possível falha no sistema email-para-pager.

Tradução: Ananda Pieratti