¿Qué pasaría si se pudiesen alterar fácilmente los datos de los tanques de combustible de las gasolineras? Eso precisamente es lo que ha descubierto el informático y especialista en seguridad Amador Aparicio, quien ha dado la voz de alarma sobre el desprotegido sistema que tienen miles de gasolineras esto en un inicio se descubrió en España.
Aparicio explicaba en un post a finales de marzo en Security by default que un gran número de gasolineras tienen su red privada conectada Internet pero sin el necesario protocolo de seguridad, con lo que estaban completamente desprotegidas y cualquier usuario con unos conocimientos medios de hacking podría llegar a manipular, por ejemplo, el estado de los tanques de combustible.
Unos tanques de combustible que están conectados a los ordenadores de la gasolinera a través una conexión Ethernet. Este sistema se usa para tener monitorizado el tipo de combustible almacenado, la temperatura o la cantidad, con lo que el fallo descubierto “permite, por ejemplo, manipular el sistema de alarmas de los tanques de combustible”, explica Aparicio a Gizmodo, que alerta del peligro que llevaría que por ejemplo un tanque se comenzase a sobrecalentar y que el empleado no se diese cuenta porque el sistema de alarma estuviese desconectado.
El proceso que siguió el especialista informático fue en primer lugar buscar el tipo de conversor que las gasolineras usan para conectar los tanques al PC de un empleado, y de ahí rastreó cuáles son los que estaban conectados con monitorización remota para poder hacer el seguimiento sin tener que ir a la propia gasolinera.
La búsqueda dio como resultado que hay decenas de gasolineras tienen los equipos conectados a Internet con una baja configuración de seguridad, ya que o bien no utilizan bloqueo por contraseña, o bien dejan la configuración por defecto del sistema, con lo que “basta descargarte el manual de Internet, ver cuál es la configuración por defecto y entrar hasta la cocina”, explica el informático a Gizmodo.
Más allá de los tanques
Una vez dentro del sistema Aparicio descubrió que es posible, realizando un escaneado de puertos con nmap, ver qué más servicios están activos detrás del router de una de las gasolineras. Esto reveló que se puede acceder de forma asequible a las cámaras IP de la estación, los terminales de cobro y tirando un poco más del hilo se podría, usando la técnica Sticky Keys para saltarse las aplicaciones de bloqueo del sistema, “se llegaría al menú de impresoras y desde allí a la raíz del sistema de ficheros”.
Tras bucear en el sistema y ver los fallos de seguridad, Aparicio asegura que se ha puesto en contacto con los responsables para que tomen las medidas oportunas, aunque insiste en que “sería muy fácil realizar un ataque dirigido a gasolineras para sabotear el sistema de monitorización y que éste ofreciese datos erróneos al operador de la gasolinera”, lo que podría llevar a afectar gravemente a la seguridad de las personas