- Em um posto Shell de Detroit, ocorreu um caso em que quase 800 galões de gasolina foram desviados após bombas de combustível serem manipuladas por uma conexão Bluetooth de celular
- O criminoso contornou o sistema das bombas e as deixou “abertas”, permitindo que vários veículos fizessem abastecimento gratuito
- O prejuízo chegou perto de US$ 3.000, e, mesmo quando os funcionários apertaram o botão para parar a Pump Three, ela não parou, exigindo a parada de emergência de todas as bombas
- O posto participa do Project Green Light, patrulhado pela polícia de Detroit, então imagens de vigilância foram obtidas, e investigadores estão procurando o suspeito
- Um método semelhante também ocorreu em um posto Speedway de Riverview, confirmando novamente um caso de furto de combustível que combinou distração de funcionários e hackeamento de bombas
Furto com manipulação de bomba de combustível por Bluetooth
- Em um posto Shell localizado em Eight Mile and Wyoming, em Detroit, um homem hackeou uma bomba de combustível usando o recurso Bluetooth do celular
- Mo, o dono do posto, afirmou que o criminoso fez a bomba abrir automaticamente para que os veículos continuassem abastecendo
- Em conversa com a FOX 2, Mo disse que o volume perdido foi de cerca de 800 galões, equivalente a um valor próximo de US$ 3.000
Quando o controle da bomba não funcionou
- Funcionários apertaram Pump Three stop do lado de dentro, mas a bomba não parou
- Mo precisou desligar todas as bombas para interromper o abastecimento e, nesse processo, teve de usar os emergency stops
- Ao que parece, o criminoso usou o celular como um dispositivo remoto para contornar o sistema
Imagens de vigilância e investigação
- O posto Shell em questão faz parte do Project Green Light, patrulhado pela polícia de Detroit
- Graças a esse programa, imagens de vigilância foram obtidas, e os investigadores estão procurando o suspeito
- Não foram divulgadas informações sobre a prisão do suspeito nem sobre sua identidade
Método reaparece em outro posto
- Um caso semelhante ocorreu no mesmo mês em um posto Speedway em Riverview
- Uma pessoa distraiu os funcionários dentro da loja com um problema no Cash App
- Outra pessoa hackeou a bomba
- Nesse caso, o prejuízo foi de US$ 54 em gasolina
Resposta do posto
- Mo afirmou que os funcionários estão observando com mais atenção o movimento ao redor das bombas
- Quando percebem muitos veículos concentrados em uma bomba específica ou alguém parado por muito tempo nas proximidades, pedem que a polícia verifique a situação
- Mo disse: “Há um limite para o que podemos fazer”
1 comentários
Comentários do Hacker News
Fico curioso se foi mesmo Bluetooth, ou se eles conseguiram uma chave da bomba ou um controle remoto
As bombas de combustível se comunicam continuamente em tempo real com o controlador da pista e com o terminal do funcionário dentro da loja; durante esse “hack”, o que aparecia na tela lá dentro? Será que o invasor derrubou a linha RS485 para que a bomba aparecesse imediatamente como offline dentro da loja e forçou a bomba para o modo de abastecimento manual? Não conheço nenhuma bomba no mercado hoje com Bluetooth, mas lembro que antigas bombas Wayne tinham controle remoto infravermelho
Seja lá o que estava acontecendo, parecia estar impedindo a operação pelo funcionário ou deixando o terminal do funcionário em um estado ruim, de modo que, por assim dizer, o interruptor de funcionamento da bomba ficou “ligado”. Fico pensando se na verdade poderia ser NFC, e tenho curiosidade para saber o que um Flipper Zero conseguiria capturar
Mesmo uma quantidade grande pode não chamar atenção, e, mesmo que pareça suspeito para o funcionário, talvez ele não tenha permissão para intervir. Faz bastante sentido uma política de que é melhor perder algum dinheiro do que correr o risco de perder por engano um cliente antigo ou de um funcionário bancar o herói e levar um tiro
O atendente provavelmente não estava olhando, mas, vendo a bomba do caixa, com certeza o contador estaria subindo. Ainda é tudo baseado em comunicação serial, então, se o funcionário não for treinado ou não perceber, pode simplesmente achar que alguém está abastecendo. Se o relatório da bomba e o relatório de vendas não baterem, isso vai aparecer no relatório diário
Acho que nos últimos 20 anos nenhum engenheiro teria colocado infravermelho nesse tipo de equipamento. Ao mesmo tempo, também dá para pensar: “quem colocaria Bluetooth no controlador embarcado de uma máquina dessas?”
A matéria original é tão ruim que chega a ser absurda. Fico pensando se as pessoas realmente gastam tempo lendo esse tipo de “notícia”; depois de ler, senti como se meu QI tivesse caído temporariamente
Não há evidência de que Bluetooth tenha sido usado, nem de que o criminoso fosse de Detroit. O relato mais detalhado que encontrei, incluindo citações da polícia de Detroit, é este: https://www.detroitnews.com/story/news/local/detroit-city/20...
Lendo nas entrelinhas, parece que uma pessoa fez o hack e, depois, várias pessoas, sabendo ou não, abasteceram de graça. Não há em nenhum lugar uma afirmação explícita de que um indivíduo específico roubou 800 galões de combustível. Claro que isso não impede dezenas de sites de notícias pela web de espalharem “informações” imprecisas
A matéria parece um pouco pobre em detalhes. Não espero que expliquem exatamente como funciona, mas isso é um bug ou uma funcionalidade do projeto da bomba?
Se dá para parar o carro na frente da bomba e se comunicar por Bluetooth, isso é uma falha de projeto e acho que o fabricante deveria ser responsabilizado. Parece uma brecha de segurança grave
No Bluetooth do meu celular não existe essa opção
Faz menos de 10 anos que eu ainda trocava pinpads 3DES. Em bombas muito antigas, dava para abrir o painel frontal e, com uma pequena chave de fenda, fazer o medidor parar de girar
Para que uma bomba de combustível usaria Bluetooth em primeiro lugar?
Acho que pode ser o caso de não terem desativado algum recurso padrão do PC embarcado. Então talvez desse para “conectar” um teclado ou mouse Bluetooth e assumir o sistema
Como esses sensores têm interface com o controlador, talvez seja possível adicionar um dispositivo intermediário que altere os valores de vazão para muito menores, ou para zero, enquanto a bomba continua liberando combustível. Se esse dispositivo tiver Bluetooth, dá para ligar e desligar à vontade, evitando que clientes honestos reclamem que “saiu menos do que eu precisava”. As bombas não são inspecionadas com frequência; então, com um adesivo de lacre falsificado convincente, ela entrega a quantidade correta durante a inspeção estadual e, se o dono não for ganancioso o suficiente para chamar atenção, dá para manter a fraude por muito tempo. 800 galões é bastante, daria para encher pelo menos 50 carros. Se essa pessoa roubou 800 galões aos poucos ao longo de um ano, provavelmente ninguém teria percebido
Está ficando cada vez mais comum permitir que técnicos acessem eletrodomésticos, máquinas etc. pelo celular via Bluetooth, e a segurança desses recursos é projetada para ser o mais simples possível para reduzir chamados de suporte técnico. Talvez o acesso seja concedido só com algo como digitar o ID da empresa de manutenção. É parecido com operadores de máquinas pesadas que deixam a chave no veículo porque é fácil compartilhar e não imaginam que outra pessoa vá usar
Por outro lado, a placa foi capturada pela câmera. Isso é o mesmo que apertar “pagar lá dentro” e simplesmente sair correndo
Edit: parece que pagar depois de abastecer é bem mais regional do que eu imaginava. Mesmo em 2023, ainda é possível em algumas partes dos EUA
Basta encostar o carro, abrir a bomba, abastecer, trancar de novo e ir embora. Eu não ficaria surpreso se a bomba não tiver um log com timestamp das chamadas de função de manutenção via Bluetooth. Mesmo que tenha, por quanto tempo dá para manter esse golpe antes que alguém perceba que o estoque do tanque subterrâneo está esvaziando? Por quanto tempo guardam as imagens de CFTV?
Isso não é abastecer e fugir por impulso; é um ataque extremamente planejado
Durante quase toda a minha vida adulta dirigindo, praticamente todas as bombas tinham leitor de cartão, então estou me apoiando em lembranças vagas da infância, quando eu entrava para pagar o combustível dos meus pais
Meu estado agora nem coloca mais relevo nas placas. Se você instalasse uma dessas e exibisse o número real exatamente igual, será que alguém perceberia? Sou uma pessoa muito sem graça, então não sei por que instalaria um dispositivo de James Bond no meu carro, mas enfim
Faz muito tempo mesmo que não vejo pagamento depois de abastecer. Achei que até os postinhos pequenos e caindo aos pedaços de onde cresci já tinham sido todos atualizados há muito tempo. A EPA não gosta muito de tanques enterrados há décadas e, como essa é a maior despesa, os eletrônicos também costumam ser atualizados junto para pagamento na bomba. Não vejo muito motivo para não obrigar clientes em dinheiro a pagar antes
Se a bomba for enganada e liberar gasolina de graça, quanto tempo levaria para o funcionário do posto perceber que há algo errado?
O título diz “homem de Detroit”, mas o texto da notícia não mostra nenhuma evidência de que o ladrão seja homem ou de Detroit
Por algum motivo, se você estiver a 25 milhas de Detroit, mesmo que na prática não vá à cidade nem uma vez por ano, dizem que você “mora em Detroit”. A imprensa normalmente usa “Metro Detroit” para se referir a alguém que não mora de fato na cidade de Detroit[0], mas, olhando a localização do posto, é bem possível que a pessoa realmente more dentro da cidade
[0] Nesse caso, pode ser alguém que mora em um dos três condados
É por isso que colocar IoT em tudo é uma má ideia. A maioria das empresas que faz esses produtos não se importa com segurança
É mais provável que tenham deixado aberta uma interface Bluetooth para manutenção/controle. Pode ser uma função usada em manutenção normal, mas que não foi protegida corretamente
O primeiro problema é que as empresas que adicionam recursos sem fio/IoT a dispositivos quase não têm relação com a implementação ou a segurança, além de assinar o cheque. Trabalhei antes em uma empresa que fazia dispositivos IoT para marcas enormes[0]. Elas sabem fazer escovas de dente, lâmpadas e aspiradores de pó, mas chamam alguém para “fazer o produto IoT inteiro” ou colaboram deixando a parte de IoT e a segurança dela com lugares como o nosso
Claro que nós também não nos envolvíamos muito na fabricação do produto em si. Muitas vezes usávamos produtos chineses white label, e frequentemente, embora nem sempre, o fabricante era escolhido explicitamente. Grandes marcas também costumam insistir em um fornecedor chinês específico para manutenção de longo prazo e redução de custos[1]
O que recebíamos era uma placa de desenvolvimento com ESP8266/ESP32 acoplada ao objeto que seria transformado em IoT, o dispositivo, e um serviço de nuvem hospedado no país de origem, quase sempre a China. O desenvolvedor escreve o app móvel e o firmware que interage com aquele serviço web em nuvem, mas nós não podemos controlar esse serviço, contorná-lo nem propor camadas adicionais de segurança. Assim se cria um campo de problema dos outros[2]
Mesmo empresas que se importam com segurança só se preocupam até certo ponto com algum padrão do setor expresso por uma sigla. Basicamente, elas preenchem com honestidade alguns formulários dizendo que atendem aos requisitos, mas isso serve apenas para proteger os envolvidos de responsabilidades fora do escopo das perguntas feitas pela organização que definiu a sigla. Muitas dessas perguntas são repassadas ao terceiro que opera o serviço de nuvem, e eles obviamente sabem quais caixinhas marcar para receber
[0] Vou omitir o nome da marca porque gostava do meu antigo emprego, mas um dos produtos relacionados era popular o bastante para meus pais receberem como presente de Natal. Foi bem divertido explicar que parte do código que eu escrevi rodava no celular deles
[1] O padrão era algo como “deixar conosco a versão inicial do app, amigável e polida”, e depois entregar a manutenção e as atualizações entre versões de hardware para aquele OEM. A primeira versão é tratada da forma mais segura possível, mas no fim acaba deixando de ser. Eles não fazem o OEM usar a versão inicial, mas, depois que ela é lançada, acrescentar funcionalidades custa um décimo, e é mais ou menos esse o valor que eles querem pagar depois que o produto inicial fica pronto
[2] Someone Else's Problem, expressão de The Hitchhiker's Guide to the Galaxy, de Douglas Adams
A única coisa é a fala do porta-voz da polícia de Detroit dizendo que “não sabemos que tipo de dispositivo foi usado, mas sabemos que era um dispositivo eletrônico”
Há alguma outra matéria além da Fox 2 News?
Nos últimos anos, houve algumas reportagens sobre dispositivos caseiros baratos sendo usados em Orlando, Texas e outros lugares
https://www.clickorlando.com/news/local/2022/05/24/gas-pump-...
Minha hipótese é que, na fabricação das bombas de combustível, foram usados componentes com Bluetooth, mas, embora nem a bomba nem o posto usem esse recurso, ele foi deixado ali por questão de velocidade e custo.
Há muitos computadores de placa única com Bluetooth, Wi-Fi e outros recursos sem fio ativados e esquecidos. Por exemplo, se você tenta comprar um notebook sem câmera embutida, ele sai muito mais caro do que um modelo com câmera. Suspeito que algo parecido aconteça na fabricação de bombas de combustível.
A stack de firmware provavelmente segue uma “preguiça” parecida. Algo como: “já existe uma biblioteca para acionar [chip/sem fio/seja lá o quê]; por que recompilar sem Bluetooth algo que já funciona agora?”
Esse dispositivo sem fio precisaria, de algum modo, ter um caminho de software que passasse pela stack e chegasse até a lógica de negócio da aplicação que controla a bomba. A menos que seja uma vulnerabilidade básica do tipo abrir um shell root a partir do driver Bluetooth, teria que haver algum software em algum lugar participando dessa funcionalidade.
“Por que recompilar sem Bluetooth” também soa estranho. Bastaria desativar; por que seria preciso recompilar alguma coisa?