המרוץ לתשתיות AI מוביל לפרצות אבטחה חמורות – אלפי מערכות בקרה תעשייתיות חשופות לאינטרנט בקרבת מרכזי נתונים בארה"ב

מחקר חדש שלTrendAI  חושף – תשתיות הקירור והחשמל עלולות להפוך לנקודת הכניסה הבאה של תוקפי הסייבר;  חוות שרתים חדשות שהוקמו בעידן ה-AI חשופות פי שניים ממתקנים ותיקים

חטיבת המחקר שלTrendAI  פרסמה מחקר חדש המצביע על משטח תקיפה בלתי נראה החושף סיכון אבטחתי חסר תקדים המאיים על ליבת תשתיות המחשוב של ארצות הברית. המחקר זיהה6,300  מערכות בקרה תעשייתיות (ICS) ומערכות אוטומציה למבנים (BAS) המחוברות ישירות לאינטרנט הציבורי בטווח של פחות מקילומטר אחד מ-1,063 מרכזי נתונים מרכזיים ברחבי המדינה.

המחקר חושף כי המערכות הקריטיות האחראיות על פעילותן התקינה של חוות השרתים והמנהלות את הקירור, אספקת החשמל, הבקרה והניטור הסביבתי של מרכזי הנתונים חשופות לתקיפות סייבר שעלולות להוביל להשבתה פיזית של שרתים. בניגוד לתפיסה הרווחת שמרכזי נתונים מוגנים על ידי שכבות הגנה מתוחכמות, מערכות התפעול (OT) פועלות לעיתים קרובות מחוץ למעטפת ההגנה הארגונית, ולעיתים אף מחוברות ישירות לאינטרנט לצורכי תחזוקה מרחוק.

לדברי רוברט מקארדל, מנהל מחקר האיומים העתידיים ב-TrendAI, "חוות שרתים הן מהסביבות הדיגיטליות המאובטחות ביותר בעולם, אך התשתיות שמאפשרות את פעילותן נותרות לעיתים כמעט לחלוטין מחוץ למעטפת האבטחה. ארגונים יכולים להשקיע מיליוני דולרים בהגנה על שרתים ורשתות, אבל אם תוקף מצליח להגיע למערכות השולטות בקירור, באספקת החשמל או בתנאי הסביבה, הוא עשוי להשיג את אותה מטרה בדיוק – השבתת השירותים."

פרדוקס ה-AI – מהירות הפריסה מסכנת את האבטחה. אחד הממצאים המפתיעים ביותר במחקר מצביע על קשר ישיר בין המרוץ העולמי לבניית תשתיות AI לבין רמת החשיפה. מרכזי נתונים שהוקמו בעידן ה-AI (משנת 2021 ואילך) מציגים שיעור חשיפה של 13.1%, יותר מכפול משיעור החשיפה של מתקנים שנבנו לפני 2010 (4.9%). החוקרים מעריכים כי הלחץ להקים במהירות תשתיות AI חדשות הוביל במקרים רבים להעדפת זמינות ומהירות על פני הקשחת אבטחה של מערכות התפעול ולחיבור מערכות קריטיות לאינטרנט ללא בחינה מספקת.

המחקר מצא כי 81% מהמערכות שנחשפו מבוססות על פרוטוקוליBACnet  ו-Fox/Niagara פרוטוקולים ותיקים שתוכננו במקור לניהול מערכות מיזוג, תאורה, חשמל ובקרה, אך לא תוכננו להתמודד עם איומי הסייבר. בנוסף, נמצאו 143 התקנים הפועלים כשערי גישה בין מספר מערכות בקרה שונות, כך שפגיעה במערכת אחת עשויה לאפשר גישה למספר תשתיות קריטיות במקביל.

עוד עולה מהמחקר כי מאות מהמערכות שנחשפו מפעילות תוכנות עם חולשות אבטחה מוכרות, חלקן בדירוג חומרה מרבי (CVSS 10.0) המאפשרות השתלטות מרחוק ללא הזדהות. בנוסף, כ-84% מהמערכות משתמשות בפרוטוקולים שאינם כוללים מנגנוני אימות או הצפנה כלל, ולכן אינן מיועדות לחשיפה לאינטרנט. כמו כן, זוהו53  פרצות אבטחה ייחודיות (CVEs) ב-10 פלטפורמות יצרנים שונות.

לדברי החוקרים, תקיפה מוצלחת של מערכות מסוג זה אינה חייבת להוביל לגניבת מידע כדי לגרום לנזק משמעותי. תוקף שיצליח להשתלט על מערכות בקרת הקירור או החשמל יכול לגרום להתחממות שרתים, להשבתת מערכות, לשיבוש חיישני סביבה, לנעילת צוותי התחזוקה מחוץ למערכות ואף לפגיעה פיזית בתשתיות. המחקר מזכיר כי תוכנות כופר ייעודיות לסביבות תעשייתיות, ובהן FrostyGoop שהתגלתה ב-2024, כבר הוכיחו שניתן לפגוע בתשתיות קריטיות באמצעות פרוטוקולי בקרה דוגמת ה-Modbus  שנמצא בשימוש ב-159 מההתקנים החשופים שזוהו.

החשיפה מתרכזת במוקדי הטכנולוגיה המרכזיים של ארה"ב, כאשר קליפורניה לבדה אחראית על 39% מהחשיפות (בעיקר בעמק הסיליקון), ואחריה אזור המטרופולין של ניו יורק. המחקר זיהה גם 17 מערכות מסוג מלכודת דבש (Honeypots) המופעלות על ידי חוקרים בקרבת מרכזי נתונים, מה שמעיד על עניין אקטיבי של גורמי איום בסריקת תשתיות אלו.

לדברי חוקרי TrendAI, "במשך שנים התמקד עולם הסייבר בהגנה על השרתים ועל שכבת ה-IT, אך תשתיות הקירור, החשמל והבקרה הפכו לנקודת עיוורון. התוקפים אינם חייבים לפרוץ לשרת כדי להשבית חוות שרתים. לעיתים מספיק לפגוע במערכות שמקררות ומזינות אותן בחשמל. ככל שמרכזי הנתונים הופכים לקריטיים יותר בעידן הבינה המלאכותית, כך גם מערכות התפעול שלהם הופכות ליעד אטרקטיבי יותר."

החוקרים ממליצים לארגונים לבצע מיפוי של מערכות הבקרה המחוברות לאינטרנט, להסיר חשיפות ישירות, לנתק מערכות בקרת מבנים מהאינטרנט וליישם גישה מאובטחת דרך VPN או טכנולוגיות Zero Trust, לבצע הפרדה בין רשתות  IT ו-OT  ולשלב את צוותי התפעול תחת מטרית אבטחת הסייבר הארגונית.