Hackean una planta potabilizadora y cambian la composición del agua del grifo en Reino Unido

Cada vez queda más claro que este es un mundo que depende enormemente de la seguridad informática para casi todos los aspectos de la vida en sociedad, eso al menos lo vivieron en Reino Unido, donde según un informe han logrado saltarse la seguridad de una planta depuradora, con preocupantes consecuencias.

[#2 Desactivado]

No conectes sistemas que controlan suministros críticos a Internet. A ver si esta vez han aprendido la lección.

[#12 Gunther.Frager]

#2 Por ejemplo, la venta online.

Un, dos, tres, responda vd. otra vez.

[#25 BodyOfCrime]

#12 El alcantarillado

[#26 Gunther.Frager]

#25 La banca online.

[#28 BodyOfCrime]

#26 El vibrador de tu madre

[#34 Gunther.Frager]

#28 Campana y se acabó.

Respuesta errónea: Ese vibrador en concreto no está conectado a Internet, sin embargo el de mi parienta sí.

[#48 Desactivado]

#28 El water con chorro limpiador. Visto en Shodan

[#60 Desactivado]

#25 ¡El acueducto!

[#55 Frederic_Bourdin]

#12 La banca online.

[#38 anv]

#2 Claro, entonces viene el jefe y dice que "necesita" estar conectado a los servidores y a Internet. Y lo necesita con su "confiable" Windows.

[#72 Capitan_Centollo]

#38 Pues es cuando le dices a tu jefe que muy bien, pero que antes firme un documento que te exonera de toda culpa si pasa algo, y que si quiere que después se lo arregles abonará un 200% de tu sueldo como bono por aguantar la estupidez crónica, que lo mismo acaba siendo hasta contagiosa.

[#75 anv]

#72 Claro que es contagiosa... pero sabrás que no se puede decir algo así a tu jefe. Sólo le dices que es peligroso y él te dice que ya que sabes que hay un peligro, que te las arregles para evitarlo, pero que él "necesita" eso de la misma manera que "necesita" enviar y recibir tarjetas navideñas ".exe" por email a pesar de que le digas que es peligroso.

[#83 Capitan_Centollo]

#75 Bueno, para decir esas cosas al jefe hay que saber darle en la fibra sensible cartera.
Tú explícale el dinero que va a costar implementar lo que pide y el que va a perder si pasa lo peor, verás como empieza a pensárselo un poco. Y si no funciona tampoco pasa nada, eso sólo significa que a esa empresa le queda poco tiempo de vida y es hora de ir pensando en otros lugares de trabajo.

[#84 anv]

#83 Justamente por eso es que normalmente el argumento que se usa a favor del software libre es el no tener que pagar licencias. Los informáticos sabemos que hay motivos de mucha más importancia pero lo de las licencias es lo que entienden más fácilmente. Algo así como "podemos probar primero con software libre que es gratis y si no nos sirve no perdemos nada. Si tenemos problemas pagamos los 40000€ de la licencia". La respuesta suele ser "no, no, tu te pones de cabeza y lo haces funcionar con software libre"

[#77 Marx]

#38 Pues justo este no llevaba windows.

[#78 anv]

#77 Quien sabe... Tal vez el AS/400 no estaba conectado a internet directamente pero sí a una red local donde había equipos windows conectados a internet.

[#79 Marx]

#78 Por poder... puede, pero eso se escapa de nuestro alcance.

[#64 Photek]

#2 Estos no han visto La jungla 4.0

[#65 RocK]

#2 parece sacado del argumento de una peli mala de acción.

[#4 Potopo]

la seguridad informatica de esa planta hace aguas...

[#43 LaVerdadDuele]

#4 noticia pratocinada por compañias embotelladoras de agua

[#66 oxelo]

#4 ¿Matias?

[#1 jonolulu]

SQLi - "...han logrado saltarse la seguridad"

Si al conserje le pides las llaves de la caja fuerte y te las da, no es que te saltes la seguridad, es que no existe: primero porque el conserje no tiene que tener las llaves, y segundo porque no debió dejarte pasar

"...because login credentials for the AS/400 were stored on the front-end web server"
http://www.theregister.co.uk/2016/03/24/water_utility_hacked/

[#13 PythonMan8]

#1 Probablemente con el pastón que cuesta pagar las licencias de un AS/400 no les quedase dinero ni para contratar a un mono.

Una lástima cuando una Raspberri Pi de 25€ puede hacer el mismo trabajo y con mucha mayor seguridad utilizando una distribución estándar de Linux y el protocolo SSH.

[#15 Gunther.Frager]

#13 Di la verdad, tu lo que quieres es hundir a IBM.

[#18 belial1971]

#13 comparar un as/400 con una rpi es como comparar un camión con un patinete: los dos te llevan de un sitio a otro pero están construidos para cosas diferentes.

[#36 anv]

#18 lo que dices es cierto. Pero a veces un buen vendedor vende un camión para hacer el trabajo de un patinete a un directivo que no tiene ni idea pero piensa que si es caro debe ser bueno.

[#81 PythonMan8]

#18 para controlar las válvulas a la rpi de los 64 bits de cpu le sobran 56 y el as/400 directamente se lo pueden meter por el culo.

Google está utilizando rpi en pruebas pero ahora resulta que eso no vale. Al menos para el comercial que vende los as/400 no vale. Porque debe ser que los de Google de informática y software no controlan

[#24 BodyOfCrime]

#13 La zero no vale? cuesta 5 pavos

[#56 mstk]

#24 la zero son los padres

[#23 jonolulu]

#16 Es otro caso. Puse un enlace en #1

[#50 Trigonometrico]

#1 De hecho, que el conserje tenga las llaves, es un fallo de seguridad.

[#68 Wayfarer]

#1 "...because login credentials for the AS/400 were stored on the front-end web server"

Esta gente se acaba de ganar el premio Epic Facepalm del año.

[#7 trasier]

Es lo que nunca entenderé de algunas empresas... Ponen ordenadores con la única función de abrir/cerrar la entrada de las máquinas de línea, contar pales hechos, hacer control de la producción... y los conectan a internet, cuando al ordenador no le hace ninguna falta.

[#20 Desactivado]

#7 Hoy en dia todo va conectado a internet, mínimo para monitorizar. Pero lo normal es que los ordenadores de los compradores y los vendedores estén sincronizados por internet para lograr que se fabrique exactamente lo que se va a consumir en el momento preciso, es decir que todas las cadenas de producción van sincronizadas entre sí.

[#22 Desactivado]

#20 sí y no. Normalmente en una fábrica bien planteada hay una red de informática para control de producción que sí se conecta a Internet y otra de manufactura que no lo está. Para eso se configuran Vlan en la capa 2, para poder aislar la parte crítica (PLC y DCS) de la parte de información.

[#62 Desactivado]

#22 Me gustaría ver una VLAN no configurada en la capa 2.

[#31 Desactivado]

#7 a veces esta conectado a la red de la empresa, para gestionar y mantener, y luego la red de la empresa también está conectada a Internet.

[#33 d4f]

#7 Si sabes que buscar es impresionante la de burradas que puedes encontrar. Buscando una frase en Google que sale en la página web de configuración de un PLC industrial encuentras una burrada de máquinas conectadas a Internet sin ninguna protección. La gente es retrasada.

[#46 elhumero]

#7 Se ahorran 1 trabajador, ya tienes la razón de la conexión a Internet.

[#47 trasier]

#46 ¿Cómo o qué trabajador se ahorran?

[#49 elhumero]

#47 el de controlar y el de recoger los datos del funcionamiento de la maquina y luego enviarlos al ingeniero.
O acaso dejas la maquina sin que nadie la revise forever and ever. Mucha fe tienes en las maquinas y en los ordenadores.

[#51 trasier]

#49 Hablamos de distintos tipos de máquinas.

[#53 elhumero]

#51 Son las mismas, antes había un tío mirando como se contaba pales, y otro como se abría y cerraba la entrada, etc, ahora con un solo tío controla los parámetros de varias fabricas a 500 kms de distancia, ahorrándose así sueldos.

[#63 zurde]

#46 #47 lo has clavado, y te lo digo por propia experiencia. Esto lo he visto no ya en una planta, sino en dos: una depuradora y una potabilizadora, pero imagino que sucederá en más sectores: se contrata un ingeniero de proceso que sabe en qué parámetros operar... Para las 24 horas del día. Si algún operario detecta algo, llamadita al canto. Si el operario sabe resolverlo (que a veces hablamos de personal con baja o nula cualificacion), fenomenal. Que no, hay que conectarse al SCADA vía remota de aquella manera (me he llegado a conectar por team viewer...) para tratar de resolver la incidencia.
Si siempre hubiese un técnico en la planta otro gallo cantaría.

[#3 Desactivado]

Hay cosas que nunca deberían estar conectadas a internet.

[#59 Desactivado]

#3 Sí, muchos usuarios de menéame, por ejemplo

[#54 Desactivado]

Yo a veces me siento agradecido de que los terroristas islamicos sean unos paletos que solo valen para reventarse con una bomba atada al cuerpo, porque como un día empiecen a darle al coco, nos la lian facilmente

[#5 Nova6K0]

Las risas van a ser con el "Internet de las Cosas", bueno risas no precisamente...

Salu2

[#9 Oh_Mann]

#5 Las botnets compuestas de batidoras y roboaspiradores van a ser curiosas.

[#45 Arcueid]

#9 La vida se va a tornar una película de Transformers.

[#10 Desactivado]

#5 Hombre si hacen las cosas como en este caso, da igual que sea iot, m2m, telégrafo o paloma mensajera, la seguridad es independiente de la plataforma.

[#21 elqueopina]

#5 Gracias a dios la gente todavía ve una chorrada que tu lavadora o tu nevera este conectada a internet, el internet de las cosas es poco mas que una vuelta de tuerca de la domotica de toda la vida. Poder activar el horno de casa por el movil para que cuando llegues este a temperatura correcta para meter la comida, o que la nevera te diga lo que te falta, o chorradillas así. Yo por mas vueltas que le doy por más que intentan retorcer la utilidad de estas cosas no veo la suficiente balanza como para que ofrezca todos los electrodomesticos de mi casa a la red.
Que hackeen mi instalación de gas soltando por toda la casa gas y que los autoencededores se activen cuando entre por la puerta o cosas así por poner un ejemplo no me parece nada remoto si sigo con el internet de las cosas, como se llamaría a un asesino hacker... Todavía habría que darle una definición...

[#74 Capitan_Centollo]

#21 Es que para hacer lo que dices no es necesario conectar nada a internet. Puedes conectar dos o más dispositivos entre sí sin necesidad de darles salida a internet. Para centralizar por ejemplo con una aplicación el funcionamiento de algunos electrodomésticos de mi casa y que me calcule y compare los consumos medios y demás chorradas no necesito internet.

[#80 elqueopina]

#74 Si pero eso es entonces domotica tradicional, el internet de las cosas lo que quiere es que tu estés en tu curro, y teniendo tu nevera conectada a la red puedas ver que falta al salir del curro y poder hacer la parada en el super antes de llegar a casa y hacer la compra. Cosas asi, que yo no estoy contento con ello ni me parece de gran utilidad pero eso es el internet de las cosas, el que tu tengas controlada tu casa desde una app en tu movil desde cualquier punto, eso es el peligro de verdad...

[#82 Capitan_Centollo]

#80 Usado de ese modo sí es una estupidez increíble. Yo veo más práctico que la maquinaria de una línea de producción pueda conectarse a una red de datos empleada por máquinas similares para, por ejemplo, hacer correcciones automáticas en la producción en base al "aprendizaje" de otras máquinas en situaciones parecidas, optimizando el proceso y aprendiendo en base a las estadísticas y datos compartidos. Podría servir incluso para que la línea se autoajustase correctamente a la primera desde el momento de puesta en marcha inicial. Para todo eso, evidentemente, hay que tener un nivel de seguridad apropiado.

[#85 elqueopina]

#82 Bueno eso no es tan fácil en sistemas de montaje, si bien una cadena puede ser parecida a otra, por ejemplo en una cadena de montaje de coches, los ajustes serían diferentes según el modelo, por lo tanto los ajustes de una no servirían para otra. O incluso los ajustes de una cadena en Dinamarca no podrían tomarse como base para los de otra en Brasil por ejemplo debido a las condiciones climáticas, creando sobrecalentamientos o desgaste debido a humedad ambiente o un montón de cosas que se van arreglado/modificando según el funcionamiento. Lo que sí puede tener alguna utilidad es para un proceso de verificación y solución de errores, por ejemplo una tv de una marca falla al cambiar al canal 666, se enviaría un mensaje de error a su marca con el consiguiente log, se solucionaría y se enviaría a todas las TV el parche...

[#27 Desactivado]

#5 Los chip son seguros si la gente no cambia las pass bloquea la lan a Internet eso no es culpa de los fabricantes ya hacen bastante dejando el chip en 1€ con todo en uno.

[#57 Desactivado]

#5 Internet es ETA.Al tiempo...(A estos niveles y del puto facebook)

[#73 Capitan_Centollo]

#5 Sólo si se aplica a las cosas críticas. Ya verás que risa cuando pongan marcapasos con wifi, ya

[#16 trasier]

Voto errónea.

La única noticia que he encontrado, es del año 2011, en una planta de Illinois (Estados Unidos) y no fue un hackeo, fue un error de la policía al suponer que la conexión de un empleado desde Rusia fue un intento de hackear la planta.

Añado url:
https://www.fayerwayer.com/2011/12/al-final-no-hubo-ningun-hackeo-a-la-planta-de-tratamiento-de-agua-en-estados-unidos/

[#44 duend]

#16 La fuente original de esta noticia creo que es ésta:

http://www.theregister.co.uk/2016/03/24/water_utility_hacked/

En algunas fuentes dicen que fue por accidente:

http://news.softpedia.com/news/hackers-modify-water-treatment-parameters-by-accident-502043.shtml

[#19 belial1971]

Una ingeniería de verdad es aquella que cuando hay un fallo se pueden producir muertes.

Supongo que los que dicen que la ingeniería informática no es una de verdad no tendrán problemas en beber ese agua.

[#30 Gunther.Frager]

#19 Bueno, hay ingenierías que trabajan para producir muertes adrede.

Los drones bombarderos los diseñan ingenieros, creo.

[#35 Desactivado]

#30 ¿y el software que llevan esos drones?

[#37 Gunther.Frager]

#35 Mira por donde he hecho un doble en ingenierias.

[#52 Trigonometrico]

#30 Y precisamente, esa puede no considerarse ingeniería de verdad, aunque parte de ella es la ingeniería que usan los drones espías, y yo considero que esa sí es ingeniería de verdad.

[#69 diazjc]

#19 Te valen muertes por radiación...

https://es.m.wikipedia.org/wiki/Therac-25

Hay fallos en la programación de sistemas de aeronavegación, sistemas de control ferroviario ...

Software...

[#6 Desactivado]

Seguro que el agua ahora es mucho mejor...

[#32 TrolB612]

Yo me pregunto por que coño estabiliza el ph del agua un ordenador conectado a una red con lo facil que seria hacerlo a mano como toda la vida se hizo.

[#42 skyleth]

#32 porque para hacerlo s mano necesitas un técnico y con el ordenador no

[#8 trasier]

Por cierto, estoy buscando otras fuentes (que no las encuentro) porque la noticia mezcla depuradora y planta potabilizadora de agua, cuando yo entiendo son cosas distintas (que quizá voy equivocado).

[#17 barney_77]

#8 Prueba a beber agua de una potabilidadora y de una depuradora a ver si notas la diferencia

[#29 nautamon]

Yo estoy trnaquilo. Solo bebo vino.

[#41 skyleth]

#29 ¡Viva el vino!

[#58 Desactivado]

Voto irrelevante por lo escueto del texto y por no poner enlace a la fuente:

@2403592

[#14 Desactivado]

alterar la concentración de químicos añadidos con los que tratan el agua para que sea apta para consumo general, algo que por suerte no varió en la potabilidad del agua.

Por suerte o porque sabían muy bien lo que estaban haciendo.

[#40 anv]

#14 o tal vez porque los compuestos que se usan son seguros como para que ni siquiera poniendo mucho más sea peligroso.

[#61 Desactivado]

#40 Los compuestos que se usan son venenos y se usan para matar bichos.

[#76 anv]

#61 Claro, pero tu puedes tomar agua con 10 o 100 veces más cloro del usado normalmente y no te pasaría nada. Es probable que los equipos ni siquiera tengan la capacidad de agregar tanto cloro por más que el ordenador lo diga.

[#11 Vichejo]

Si no le metes alucinogenos al agua, ¿que sentido tiene hakearla?

[#70 Desactivado]

Esto merece noticia por sí solo

https://news.ycombinator.com/item?id=11367666

Está relacionado.

[#39 Desactivado]

La liga de las sombras seal of approval

[#67 AlexCremento]

Lo que me parece que falla es la seguridad de esas plantas de agua y a saber qué tipo de encriptación usan.

[#71 Desactivado]

Y todo para hacer la vida mas sencilla al tipo que tendría que estar en cuerpo presente en ese puesto.