Хакер рассказал, как взломал сеть РЖД и получил доступ к внутренним системам и камерам видеонаблюдения по всей России

Пользователь «Хабра» LMonoceros 13 января написал, что решил проверить уровень защищенности корпоративной сети РЖД спустя год после того, как его коллега за 20 минут взломал wi-fi-сеть поезда «Сапсан». По словам хакера, за 8 часов он получил доступ к внутренним сетям компании и камерам видеонаблюдения в Уфе, Костромской области, Новосибирске и Омске, не садясь в поезд.

LMonoceros воспользовался находкой коллеги — тот, взломав сеть «Сапсана» в 2019 году, сообщал: на диске, к которому он получил доступ, есть VPN в сети РЖД. Как рассказал LMonoceros, с помощью VPN он действительно обнаружил более 20 тысяч устройств с заводскими паролями.

Некоторые из них ведут к камерам видеонаблюдения — не только наружным, установленным на вокзалах Уфы, Костромской области, Кемерово, Новосибирска и Омска, но и офисным. Другие привели к «чему-то похожему» на мониторинг состояния систем обеспечения здания и систему управления кондиционированием и вентиляцией.

По мнению автора, для взлома сети РЖД и отключения камер видеонаблюдения на железных дорогах гипотетическому злоумышленнику потребуется неделя. Хакер отметил, что уязвимости в корпоративных сетях появляются «из-за ошибок или специальных действий безграмотных сотрудников». «Я старался достаточно жирно намекнуть на узкие места, не раскрывая деталей, и надеюсь, что специалисты РЖД их всё же увидят», — заключил LMonoceros.

В РЖД ТАСС сообщили, что проводят расследование «по публикации в открытом источнике данных, связанных с информационной безопасностью одного из подразделений холдинга», но отметили: утечки персональных данных клиентов холдинга не произошло, угрозы безопасности движения нет.

«Компания открыта и приветствует предложения по усовершенствованию собственной IT-инфраструктуры, при этом выступает против неправомерного доступа к информационным системам и публикации данных, связанных с информационной безопасностью, в открытых источниках. Напоминаем, что неправомерный доступ к компьютерной информации является уголовным правонарушением», — заявили в пресс-службе РЖД.