Все платежные и информационные терминалы работают на Windows либо на Android. Основное их отличие от других видов цифровых устройств заключается в наличии режима «киоска» — интерактивной графической оболочки, которая перекрывает пользователю доступ к привычным функциям операционной системы, оставляя лишь ограниченный набор возможностей. Тем не менее, злоумышленники могут воспользоваться всеми функциями операционной системы благодаря уязвимостям и недостаткам конфигурации, которые имеются почти в любом подобном устройстве, и реализовать с их помощью свои корыстные цели.
Например, в интерфейсе некоторых терминалов содержатся ссылки на внешние сайты. С их помощью злоумышленники могут получить доступ к операционной системе устройства и запустить виртуальную клавиатуру. Этот недостаток конфигурации позволяет осуществить запуск вредоносных приложений.
Другой тип уязвимости был найден в терминале, предназначенном для печати квитанций. После того как пользователь заполняет все поля, вводит реквизиты и нажимает кнопку «Создать», терминал на некоторое время открывает стандартное окно печати. У злоумышленника есть несколько секунд, чтобы успеть изменить параметры печати и выйти в справочный раздел. Оттуда он может перейти в панель управления и открыть экранную клавиатуру. Это дает ему возможность, запустить вредоносный код, получить информацию о распечатанных файлах, узнать пароль администратора на устройстве.
Некоторые терминалы обрабатывают личные данные пользователей, в том числе номера банковских карт и мобильных номеров из списка контактов. С помощью многих из этих устройств можно подключиться к другим элементам инфраструктуры умного города. Это открывает широкие возможности для разных видов атак — от простого хулиганства до вторжения в сеть владельца терминала. В будущем устройства, облегчающие получение разных видов услуг, будут еще более распространены, поэтому производителям уже сейчас нужно устранить обнаруженные недостатки конфигураций.
Кроме того, эксперты проанализировали ряд камер регистрации скорости. Выяснилось, что злоумышленники могут без проблем подключиться к ним и манипулировать собранными данными. Найти IP-адреса этих устройств легко позволяет поисковый механизм Shodan, а для доступа к ним, как оказалось, не нужен никакой пароль: видеопоток и дополнительные данные, например, географические координаты камер, может увидеть любой пользователь Интернета. Кроме того, в открытом доступе в Сети находятся некоторые инструменты, использующиеся для контроля над камерами.
