Kamery na celowniku: przestępcy zbierają dane techniczne instalacji, by przejąć kontrolę nad urządzeniami

Do firm z branży monitoringu wizyjnego trafiają fałszywe e-maile rzekomo wysyłane przez organ nadzorczy ds. ochrony danych. Przestępcy nie chcą pieniędzy, chcą czegoś cenniejszego: technicznych danych o kamerach, ich lokalizacji i oprogramowaniu. Mając te informacje, mogą po cichu przejąć obraz z urządzeń zainstalowanych w mieszkaniach, biurach czy magazynach. I to bez jakiegokolwiek kontaktu z właścicielem kamery.

Najważniejsze:

• Fałszywy e-mail powołuje się na przepisy RODO i żąda zestawienia instalacji monitoringu z ostatnich dwunastu miesięcy, w trybie pilnym, z siedmiodniowym terminem odpowiedzi.
• Przestępcy celują w dane techniczne: identyfikatory sieciowe urządzeń, ich numery fabryczne, zainstalowane wersje oprogramowania układowego oraz dokładne współrzędne geograficzne lokalizacji kamer.
• Organ nadzorczy ds. ochrony danych potwierdził, że nie jest nadawcą tych wiadomości, jego prawdziwa korespondencja trafia do administratorów danych tradycyjną pocztą lub przez systemy eDoręczeń, zawsze z sygnaturą sprawy.
• Kampanię wykrył i zgłosił rządowy zespół reagowania na incydenty komputerowe CSIRT GOV, co wskazuje na jej zorganizowany, szeroko zakrojony charakter.
• Firmy, które już odpowiedziały na fałszywe pismo, powinny niezwłocznie zgłosić zdarzenie do CSIRT GOV i rozważyć zmianę haseł oraz aktualizację oprogramowania na urządzeniach objętych wyciekiem.

Inny cel niż zwykle: nie portfel, lecz infrastruktura

Kampanie phishingowe uderzające w polskie instytucje i ich wizerunek mają w kraju ugruntowaną historię. Wcześniej fałszywe wiadomości i SMS-y chętnie podszywały się pod operatora pocztowego, tam jednak chodziło głównie o dane logowania lub płatności klientów indywidualnych. Obecna operacja jest zbudowana na zupełnie innej logice: jej adresatem nie jest przeciętny konsument, lecz firma świadcząca profesjonalne usługi instalacji systemów nadzoru wizyjnego, a zdobywane informacje mają charakter czysto infrastrukturalny.

Zmiana profilu ataku jest znacząca. Zamiast skłonić ofiarę do kliknięcia w spreparowany link płatności, przestępcy chcą wejść w posiadanie danych, które pozwolą im po cichu przejąć kontrolę nad urządzeniami już działającymi w terenie. To atak na zaplecze, nie na front.

Czytaj także: Pracownicy wklejają dane klientów do AI, a firmy o tym nie wiedzą. UODO wydał listy kontrolne

O kampanii organ nadzorczy dowiedział się w poniedziałek 19 października od CSIRT GOV, rządowego zespołu powołanego do reagowania na poważne incydenty bezpieczeństwa cyfrowego. Fakt, że sprawą zajął się właśnie ten podmiot, sugeruje, że kampanię oceniono jako zagrożenie o skali przekraczającej jednostkowe oszustwo.

Dlaczego fałszywe pismo brzmi przekonująco

Wiadomość jest starannie zredagowana. Powołuje się na konkretne artykuły unijnego rozporządzenia o ochronie danych, choć, jak zauważył sam urząd, wskazane przepisy mają niewiele wspólnego z problematyką monitoringu wizyjnego. Dane teleadresowe instytucji są podane niemal bezbłędnie, a do wiadomości dołączona jest tabela, którą adresat ma wypełnić szczegółowymi danymi technicznymi.

Mechanizm presji jest klasyczny: całość opatrzona jest żądaniem dostarczenia wypełnionego zestawienia w ciągu siedmiu dni roboczych oraz sformułowaniem nadającym wiadomości rangę oficjalnego wezwania urzędu. Presja czasowa połączona z autorytetem instytucji ma skłonić odbiorcę do działania bez refleksji i bez weryfikacji, czy nadawca jest tym, za kogo się podaje. To podręcznikowe zastosowanie socjotechniki.

Co konkretnie chcą wiedzieć przestępcy i co mogą z tym zrobić

Fałszywe pismo żąda kontaktów do użytkowników końcowych, precyzyjnej lokalizacji każdej instalacji wraz ze współrzędnymi geograficznymi, sieciowych identyfikatorów urządzeń, ich numerów fabrycznych i modeli, a także wersji zainstalowanego oprogramowania układowego. Poniższa tabela pokazuje, do czego każda z tych informacji może posłużyć po dostaniu się w niepowołane ręce:

Urząd nadzorczy podkreślił, że przestępcy mogą wykorzystać fabryczne ustawienia urządzenia, o ile instalator lub użytkownik ich nie zmienił, by przejąć nad nim kontrolę. Efektem może być podgląd obrazu z chronionego miejsca: mieszkania, biura, magazynu czy placówki użyteczności publicznej, z realnym wpływem na bezpieczeństwo osób i mienia.

Właściciel kamery domowej: ofiara, która o niczym nie wie

Kampania jest skierowana do podmiotów instalujących systemy nadzoru wizyjnego, nie do ich klientów. Jednak potencjalne skutki mogą dotknąć każdego, kto jest użytkownikiem końcowym takich urządzeń. Jeśli firma instalatorska przekaże dane techniczne kamer swoich zleceniodawców, to właśnie ci zleceniodawcy, właściciele mieszkań, sklepów, magazynów, stają się pośrednimi ofiarami ataku. Ich urządzenia mogą zostać przejęte bez ich wiedzy i bez jakiegokolwiek bezpośredniego kontaktu z przestępcami.

Czytaj także: Pierwsza kara UODO za prywatny monitoring – precedens, który zmienia zasady gry dla właścicieli kamer

To istotna różnica w porównaniu z typowym phishingiem finansowym, gdzie ofiara musi samodzielnie podjąć działanie, na przykład kliknąć fałszywy link. W tym modelu ataku wystarczy, że ktoś inny, instalator, który zna dane techniczne kamery, odpowie na spreparowane pismo. Właściciel urządzenia nie ma żadnej możliwości zablokowania takiego scenariusza, jeśli nie wie, że coś takiego się dzieje. Dlatego warto zapytać firmę, która instalowała monitoring, czy otrzymała podobną wiadomość i jak na nią zareagowała.

Jak faktycznie wygląda korespondencja organu nadzorczego ds. ochrony danych

Instytucja nadzorcza wyraźnie zaznaczyła, że nie rozsyła pism ani ankiet mających charakter urzędowego wezwania i nie zbiera tego rodzaju danych technicznych. Jej zadaniem jest badanie tego, jak podmioty przetwarzają i zabezpieczają dane osobowe. Gdy w toku postępowania potrzebne są dodatkowe informacje, urząd zwraca się o nie w ramach sprawy opatrzonej konkretną sygnaturą, z podanym kontaktem do właściwego departamentu. Komunikacja odbywa się tradycyjną pocztą lub za pośrednictwem systemów eDoręczeń albo ePUAP, nigdy zwykłą wiadomością elektroniczną z siedmiodniowym ultimatum.

Gdy instytucja chce zbadać, jak administratorzy danych realizują obowiązki wynikające z przepisów, takie działania są wcześniej zapowiadane komunikatem na jej stronie internetowej. Pytania mają charakter ogólny i opisowy, a prośba o odpowiedź jest kierowana do administratorów, czyli podmiotów decydujących o celach i sposobach przetwarzania danych, a nie do firm montujących urządzenia, ich dystrybutorów ani serwisów. Takie ankiety mają dobrowolny charakter: żadna z nich nie jest opatrzona groźbą konsekwencji za brak odpowiedzi w trybie pilnym.

Porównanie to ma znaczenie praktyczne: prawdziwa ankieta organu nadzorczego pyta administratora o polityki i procedury ochrony danych, nie o numery seryjne sprzętu i współrzędne jego lokalizacji. Sama treść żądania powinna więc wzbudzić podejrzenia niezależnie od tego, jak wiarygodnie wygląda nadawca.

Co zrobić z podejrzanym pismem i co zrobić, jeśli już się odpowiedziało

Organ nadzorczy zaleca weryfikowanie każdej korespondencji przed udzieleniem odpowiedzi. W praktyce oznacza to samodzielny kontakt z instytucją przez oficjalne dane ze strony uodo.gov.pl, nie przez numer telefonu ani adres podany w podejrzanej wiadomości. Żadne pismo żądające szczegółowych danych technicznych urządzeń w trybie kilkudniowym nie powinno być traktowane jako wiarygodne bez takiego potwierdzenia.

Artykuły ostrzegawcze rzadko jednak odpowiadają na pytanie, które zadaje każdy, kto już dał się nabrać. Jeśli dane zostały wysłane, zalecane działania to:

• Niezwłoczne zgłoszenie incydentu do CSIRT GOV, to właśnie ten zespół wykrył kampanię i jest właściwym miejscem do raportowania takich zdarzeń, oraz zawiadomienie Policji.
• Poinformowanie użytkowników końcowych, których dane techniczne mogły trafić do przestępców: mają prawo wiedzieć, że bezpieczeństwo ich urządzeń mogło zostać naruszone, i podjąć własne środki ostrożności.
• Zmiana haseł dostępu i ustawień sieciowych na urządzeniach objętych wyciekiem, ze szczególnym uwzględnieniem tych, na których nigdy nie zmieniono fabrycznych danych logowania.
• Sprawdzenie i aktualizacja oprogramowania układowego kamer, producenci regularnie publikują poprawki likwidujące znane podatności, a przestępcy dysponujący numerem seryjnym i wersją firmware wiedzą dokładnie, których z nich szukać.

Najczęściej zadawane pytania

Czy organ nadzorczy ds. ochrony danych wysyła prośby o dane techniczne systemów monitoringu?

Nie. Instytucja jednoznacznie potwierdziła, że nie jest nadawcą opisywanych wiadomości i nie zbiera tego rodzaju informacji technicznych. Fałszywe pismo to phishing, klasyczna metoda wyłudzenia danych polegająca na podszywaniu się pod wiarygodny podmiot.

Po czym rozpoznać, że pismo od organu nadzorczego jest autentyczne?

Prawdziwe postępowania mają nadaną sygnaturę i zawierają kontakt do konkretnego departamentu prowadzącego sprawę. Korespondencja trafia tradycyjną pocztą lub przez systemy eDoręczeń albo ePUAP, nigdy zwykłym e-mailem z presją czasową. Zapowiedzi ankiet dotyczących realizacji obowiązków przez administratorów danych pojawiają się zawsze wcześniej na oficjalnej stronie instytucji, a same ankiety mają charakter dobrowolny.

Dlaczego dane techniczne kamer są wartościowe dla przestępców?

Pozwalają ustalić, czy dane urządzenie pracuje na nieaktualnym oprogramowaniu podatnym na znane ataki. W połączeniu z fabrycznymi danymi dostępu, których wielu użytkowników nigdy nie zmienia, umożliwiają przejęcie obrazu z kamery bez wiedzy jej właściciela.

Co zrobić, jeśli firma już odpowiedziała na fałszywą wiadomość?

Należy niezwłocznie zgłosić zdarzenie do CSIRT GOV oraz na Policję, poinformować użytkowników końcowych, których dane mogły wyciec, a następnie zmienić hasła i ustawienia sieciowe na urządzeniach objętych incydentem oraz sprawdzić aktualność oprogramowania układowego tych kamer.

Czy właściciel kamery domowej, który nie jest firmą instalatorską, jest zagrożony?

Nie bezpośrednio, kampania celuje w firmy instalujące monitoring, nie w konsumentów. Jednak jeśli firma, która montowała urządzenia, przekaże ich dane techniczne przestępcom, urządzenia właściciela mogą zostać przejęte bez jego wiedzy i udziału. Warto skontaktować się ze swoim instalatorem i zapytać, czy otrzymał podobną wiadomość i jak na nią zareagował.

Materiał przygotowany z wykorzystaniem narzędzi sztucznej inteligencji.

Fot. Castorly Stock / Pexels