To israelske hackere er faldet over en bekymrende sikkerhedspraksis hos en leverandør af kølesystemer til blandt andet sygehuse.
Kølesystemerne bliver alle sammen leveret med standardkodeordet '1234' og ifølge de to hackere fra sikkerhedsfirmaet Safety Detective er næsten ingen af systemer blevet ændret siden.
Hackerne fandt frem til sårbarhederne gennem søgeværktøjet Shodan, der giver mulighed for at søge efter alle internet-forbundne enheder på samme måde som en simpel Google-søgning.
Læs også: CGI-hacker slår alarm: Her går det galt for virksomhedernes it-sikkerhed, når de flytter i clouden
Her fremgår det, at der mindst findes 7.419 systemer spredt ud over det meste af verden herunder Tyskland, Sverige, Norge, UK og Holland.
Det fremgår ikke om Danmark er blandt landende, der har systemet installeret.
Desuden bruger systemerne en ukrypteret HTTP-protokol og Port 9000 mens flere af systemerne endda bruger port 80.
Ifølge de to etiske hackere bag opdagelsen, betyder det, at enhver der kender URL-adressen til systemerne kan få adgang til dem og ved hjælp af koden '1234' manipulere systemerne.
Udover at kunne ændre temperaturen for køle-systemerne der potentielt kan opbevare livsvigtig medicin, havde de to etiske hackere bag opdagelsen også mulighed for at ændre flere ting.
“Du kan ikke alene ændre køle- og fryseinstillingerne gennem det her system, du kan også ændre bruger- og alarm-instillingerne,” skriver de to etiske hackere på deres blog.
Flere lande i Europa bruger systemet
Kølesystemerne er solgt af det skotske firma Resource Data Management, og er blevet informeret om sårbarhederne.
Svaret fra selskabet var dog i første omgang ikke særligt imødekommende.
“Tak for din email. Efter at have undersøgt jeres services, er de ikke interessante for vores virksomhed. Som en ledende medarbejder i virksomheden, skal jeg venligst bede dig om ikke at kontakte os eller nogle af vores medarbejdere igen,” fremgår det af bloggen.
Læs også: Hackere opruster med AI i jagten på din virksomheds data: Sådan forsvarer du din organisation
Senere er Resource Data Management dog vendt tilbage med en ny mail, hvor selskabet blandt andet gør det klart, at det er et krav til selskabets kunder at ændre kodeordet, når systemet bliver sat op.
I en tredje mail til sikkerhedfirmaet beklager Resource Data Management, hvis deres første mail virkede utaknemlig og understreger, at man har hjulpet kunderne med at løse password-problemerne.
Her kan du læse hele blog-indlægget fra de to hackere.
