Qualys 表示，大约 55,000 个联网供暖系统（其中包括索契奥林匹克体育场的一个）缺乏足够的安全保障
一家安全公司周四警告称，大规模 Target 漏洞导致许多公司使用没有足够安全性的联网供暖、通风和空调 (HVAC) 系统，为黑客提供了进入关键企业系统的潜在门户。
云安全服务提供商Qualys表示，其研究人员发现，过去两年连接到互联网的约55,000个HVAC系统中的大多数都存在容易被黑客利用的缺陷。在 Target 的案例中，黑客窃取了为其提供 HVAC 服务的公司的登录凭据，并利用该访问权限在该公司的支付系统上获得立足点。
据该安全公司称，暖通空调系统连接到各个零售公司、政府大楼甚至医院的网络。 HVAC 供应商和其他第三方通常具有对这些系统的远程访问权限，以用于管理和支持目的。
夸利斯说，黑客可以利用这些系统访问企业网络并跳转到其他公司系统。
最近 Target 的违规事件导致 4000 万张信用卡和借记卡数据被盗，据信就是通过这种方式发生的。最先报告此次大规模泄露事件的安全博主布莱恩·克雷布斯 (Brian Krebs) 表示，黑客使用从向零售商提供 HVAC 服务的公司窃取的登录凭据连接到 Target 网络。
这家暖通空调公司显然拥有塔吉特网络的访问权限，可以执行远程监控各商店的能源消耗和温度等任务。 Target 数据窃贼利用远程访问权限在零售商的网络上站稳脚跟，随后越级进入该公司的支付系统。
Qualys 情报总监比利·里奥斯 (Billy Rios) 在一封电子邮件中表示，大多数公司都不知道 HVAC 系统已连接到互联网，并且可以作为进入公司网络和敏感数据的网关。
里奥斯说：“这次违规行为不仅影响塔吉特公司。其他公司的许多其他控制系统也受到了影响。”
在披露攻击者如何访问 Target 网络后，Qualys 进行了一些网络扫描，发现 Target 总部的 HVAC 系统仍然在线可见。他说，索契奥运会场馆的暖通空调和能源管理系统也是如此。
“索契系统甚至不需要密码，所以如果你知道 IP 地址，就可以进入。我们已联系集成商，警告他们这个问题，”里奥斯指出。
通常，能够远程访问 HVAC 系统的公司无法意识到这些系统可以用作敏感企业网络的网关。他说，因此他们通常采取宽松的安全措施。他说，例如，许多暖通空调管理公司使用相同的密码来访问属于多个客户的系统。
里奥斯说，夸利斯已经在这个问题上与国土安全部合作了三年，因此所有人都知道这种威胁。 “大多数人还不知道这一点，”他补充道。
Bomgar（一家提供安全远程访问工具的公司）的解决方案工程高级总监 Boatner Blankenstein 表示，Target 的违规行为表明了为什么公司需要采取措施来控制第三方可以在其网络上执行的操作。
大型企业通常向软件、硬件以及众多其他供应商和外部第三方授予远程访问权限。但很少有人采取措施来确保访问经过正确的身份验证和安全。
他说，虽然许多公司可能会定期记录远程访问会话，但很少有公司有能力从安全角度审核访问。
杰库玛·维贾扬涵盖数据安全和隐私问题、金融服务安全和电子投票计算机世界。在 Twitter 上关注 Jaikumar：@jaivijayan，或订阅。他的电子邮件地址是[email protected].