В РЖД нашли беззащитные камеры наблюдения и IP-телефоны

Хакер с ником LMonoceros опубликовал на «Хабре» статью, в которой описаны многочисленные уязвимости в компьютерной системе РЖД. Он смог удалённо получить доступ к публичному прокси-серверу компании и через него проник в компьютерную сеть.

LMonoceros выяснил, что любой желающий с минимальными знаниями с сфере информационной безопасности мог обладать доступом к десяткам тысяч устройств во внутренней сети РЖД:

— Камеры
— IP-телефоны
— IPMI-интерфейсы серверов

— Интерфейсы систем виртуализации (через них можно забрать сами виртуальные серверы и их содержимое с личными данными)
— Служебные интерфейсы

LMonoceros обнаружил трансляции примерно с десяти тысяч камер на различных объектах РЖД (в том числе внутри офисов), сервера с IP-телефонией, внутреннюю документацию (например, презентации, в которых рассказывается об устройстве вокзалов) и множество других данных, которые должны держаться в секрете. Он также нашёл следы того, что он первый, кто проник в компьютерную систему РЖД — она могла тайно эксплуатироваться хакерами продолжительное время.

LMonoceros предположил, что проблема связана с плохой работой IT-отдела РЖД. Специалисты не удосужились поменять стандартные пароли на сетевом оборудовании, не настроили защиту данных от утечки и не организовали обнаружение внешних атак.

Специалисты РЖД связались с хакером LMonoceros и совместно с ним всего за несколько часов устранили обнаруженные уязвимости. Компания утверждает, что утечки персональных данных клиентов холдинга не произошло, угрозы безопасности движения поездов нет. В РЖД также напомнили, что неправомерный доступ к компьютерной информации является уголовным правонарушением (но не пояснили, попадают ли действия LMonoceros под уголовную статью).