- An einer Shell-Tankstelle in Detroit kam es zu einem Vorfall, bei dem über eine Bluetooth-Verbindung mit einem Mobiltelefon Zapfsäulen manipuliert wurden und fast 800 Gallonen Benzin abflossen
- Der Täter umging das Pumpensystem und ließ die Zapfsäule „offen“, sodass mehrere Fahrzeuge kostenlos tanken konnten
- Der Schaden belief sich auf fast 3.000 Dollar; selbst als Mitarbeiter Pump Three stop drückten, stoppte die Säule nicht, sodass ein Not-Aus für alle Zapfsäulen nötig war
- Die Tankstelle ist Teil von Project Green Light, wo die Polizei von Detroit Streife fährt, daher gibt es Überwachungsaufnahmen, und Ermittler suchen nach dem Verdächtigen
- Auch an einer Speedway-Tankstelle in Riverview kam es mit einer ähnlichen Methode zu einem Vorfall, was erneut einen Kraftstoffdiebstahl durch die Kombination aus Ablenkung von Mitarbeitern und Pumpen-Hacking zeigt
Diebstahl durch Manipulation von Zapfsäulen per Bluetooth
- An einer Shell-Tankstelle an Eight Mile and Wyoming in Detroit hackte ein Mann mithilfe der Bluetooth-Funktion seines Mobiltelefons die Zapfsäulen
- Der Tankstellenbesitzer Mo sagte, der Täter habe die Säulen automatisch geöffnet, sodass Fahrzeuge weiter tanken konnten
- Im Gespräch mit FOX 2 erklärte Mo, der Schaden liege bei etwa 800 Gallonen und damit bei fast 3.000 Dollar
Als sich die Zapfsäule nicht mehr stoppen ließ
- Mitarbeiter drückten innen Pump Three stop, doch die Zapfsäule stoppte nicht
- Mo musste alle Zapfsäulen abschalten, um die betreffende Säule zu stoppen, und dabei emergency stops verwenden
- Es scheint, als habe der Täter sein Mobiltelefon wie ein Fernsteuergerät genutzt, um das System zu umgehen
Überwachungsaufnahmen und Stand der Ermittlungen
- Die betreffende Shell-Tankstelle ist eine Project Green Light-Tankstelle, die von der Polizei in Detroit bestreift wird
- Dank dieses Programms konnten Überwachungsaufnahmen gesichert werden, und Ermittler suchen nach dem Verdächtigen
- Ob der Verdächtige festgenommen wurde oder wer er ist, wurde nicht bekannt gegeben
Die Methode tauchte auch an anderen Tankstellen wieder auf
- An einer Speedway-Tankstelle in Riverview gab es im selben Monat einen ähnlichen Vorfall
- Eine Person lenkte im Laden mit einem Problem rund um Cash App einen Mitarbeiter ab
- Eine andere Person hackte die Zapfsäule
- Der Schaden in diesem Fall belief sich auf 54 Dollar an Benzin
Reaktion der Tankstelle
- Mo sagte, die Mitarbeiter achteten nun genauer auf die Situation rund um die Zapfsäulen
- Wenn sich viele Fahrzeuge an einer bestimmten Säule sammeln oder jemand länger dort herumsteht, werde die Polizei um Überprüfung gebeten
- Mo sagte: „Es gibt Grenzen dessen, was wir tun können.“
1 Kommentare
Meinungen auf Hacker News
Ich frage mich, ob es wirklich Bluetooth war oder ob sie an einen Zapfsäulenschlüssel oder eine Fernbedienung gekommen sind.
Zapfsäulen kommunizieren ständig in Echtzeit mit dem Forecourt-Controller und dem Mitarbeiterterminal im Laden; was war während dieses „Hacks“ wohl auf dem Bildschirm drinnen zu sehen? Hat der Angreifer die RS485-Leitung heruntergezogen, sodass die Pumpe im Laden sofort als offline erschien, und sie in einen manuellen Ausgabemodus gezwungen? Ich weiß von keiner Pumpe auf dem Markt, die Bluetooth hat, aber ich erinnere mich, dass alte Wayne-Pumpen Infrarot-Fernbedienungen hatten.
Was auch immer passiert ist: Entweder wurden die Bedienaktionen des Mitarbeiters blockiert, oder das Mitarbeiterterminal blieb in einem schlechten Zustand zurück, sodass der Betriebsschalter der Pumpe sozusagen auf „Ein“ blieb. Ich denke, es könnte tatsächlich NFC gewesen sein, und frage mich, was man mit einem Flipper Zero abgreifen könnte.
Selbst große Mengen fallen nicht unbedingt auf, und selbst wenn es dem Personal verdächtig vorkommt, darf es vielleicht nicht eingreifen. Eine Richtlinie, nach der es besser ist, etwas Geld zu verlieren, als versehentlich Stammkunden zu vergraulen oder zu riskieren, dass ein Mitarbeiter beim Helden spielen erschossen wird, ergibt ziemlich viel Sinn.
Der Kassierer hat vermutlich nicht hingesehen, aber wenn man sich die Pumpe an der Kasse angesehen hätte, wäre der Zähler sicher hochgelaufen. Es basiert immer noch alles auf serieller Kommunikation, und wenn das Personal nicht geschult ist oder es nicht bemerkt, denkt es einfach, jemand tanke gerade. Wenn der Zapfsäulenbericht und der Umsatzbericht nicht zusammenpassen, würde das im Tagesbericht auffallen.
Ich glaube nicht, dass irgendein Ingenieur in den letzten 20 Jahren Infrarot in solche Geräte eingebaut hätte. Gleichzeitig fragt man sich aber auch: „Wer würde Bluetooth in die Embedded-Controller solcher Maschinen einbauen?“
Der Originalartikel ist so schlecht, dass ich fassungslos bin. Ich frage mich, ob Menschen tatsächlich Zeit damit verbringen, solche „Nachrichten“ zu lesen; nach dem Lesen fühlte es sich an, als wäre mein IQ vorübergehend gesunken.
Es gibt keinen Beleg dafür, dass Bluetooth verwendet wurde, und keinen Beleg dafür, dass der Täter aus Detroit stammt. Das Detaillierteste, was ich gefunden habe, einschließlich eines Zitats der Polizei von Detroit, ist hier: https://www.detroitnews.com/story/news/local/detroit-city/20...
Wenn man zwischen den Zeilen liest, klingt es so, als habe eine Person den Hack durchgeführt und danach hätten mehrere Leute, wissentlich oder unwissentlich, kostenlos getankt. Nirgends wird ausdrücklich behauptet, dass eine bestimmte Einzelperson 800 Gallonen Kraftstoff gestohlen hat. Das hindert natürlich nicht Dutzende Nachrichtenseiten im ganzen Web daran, ungenaue „Informationen“ weiterzuverbreiten.
Dem Artikel scheinen ein paar Details zu fehlen. Ich erwarte nicht, dass er genau erklärt, wie das funktioniert, aber ist das nun ein Bug oder ein Feature im Pumpendesign?
Wenn man mit dem Auto vor die Pumpe fahren und per Bluetooth mit ihr kommunizieren kann, ist das meiner Meinung nach ein Designfehler, für den der Hersteller verantwortlich sein sollte. Das wirkt wie eine gravierende Sicherheitslücke.
Mein Handy-Bluetooth hat keine solche Option.
Es ist noch keine zehn Jahre her, dass ich 3DES-PIN-Pads ausgetauscht habe. Bei sehr alten Pumpen konnte man die Frontblende öffnen und mit einem kleinen Schraubendreher verhindern, dass der Zähler mitläuft.
Wofür nutzt eine Zapfsäule überhaupt Bluetooth?
Ich könnte mir vorstellen, dass es eine Standardfunktion des Embedded-PCs ist, die nicht deaktiviert wurde. Dann könnte man vielleicht eine Bluetooth-Tastatur oder -Maus „anschließen“ und so das System übernehmen.
Solche Sensoren haben eine Schnittstelle zum Controller; man könnte also vielleicht ein Man-in-the-Middle-Gerät hinzufügen, das den Durchflusswert viel niedriger oder auf 0 setzt, während die Pumpe weiter Kraftstoff ausgibt. Wenn man dieses Gerät mit Bluetooth versieht, kann man es nach Belieben ein- und ausschalten, damit gesetzestreue Kunden sich nicht beschweren, dass „weniger herauskommt als nötig“. Pumpen werden nicht häufig überprüft, also wirkt ein kopierter Siegelaufkleber plausibel, bei der staatlichen Prüfung kommt die korrekte Menge heraus, und wenn man nicht so gierig wird, dass der Betreiber es bemerkt, kann man lange betrügen. 800 Gallonen sind eine große Menge und reichen, um mindestens 50 Autos vollzutanken. Wenn diese Person über ein Jahr hinweg langsam 800 Gallonen gestohlen hätte, hätte es wahrscheinlich niemand bemerkt.
Es wird immer üblicher, dass Techniker sich per Bluetooth über ihr Smartphone mit Haushaltsgeräten, Maschinen usw. verbinden, und die Sicherheit solcher Funktionen wird möglichst einfach gehalten, um Supportanfragen zu reduzieren. Zugriff bekommt man vielleicht schon, indem man die ID des Wartungsunternehmens eingibt. Das ist ähnlich wie bei Fahrern schwerer Maschinen, die den Schlüssel einfach im Fahrzeug stecken lassen, weil er sich so leicht teilen lässt und sie nicht glauben, dass jemand anderes ihn benutzen würde.
Einerseits wurde das Kennzeichen von der Kamera erfasst. Das ist so, als würde man auf „drinnen bezahlen“ drücken und dann einfach abhauen.
Korrektur: Bezahlen nach dem Tanken scheint regionaler zu sein, als ich dachte. In manchen Gegenden der USA ist es auch 2023 noch möglich.
Man fährt einfach vor, öffnet die Zapfsäule, tankt, schließt sie wieder ab und fährt weg. Es würde mich nicht überraschen, wenn die Zapfsäule kein Zeitstempel-Log der Bluetooth-Wartungsfunktionsaufrufe hat. Und selbst wenn: Wie lange kann man diesen Betrug laufen lassen, bevor jemand merkt, dass der Bestand im unterirdischen Tank sinkt? Wie lange werden CCTV-Aufnahmen aufbewahrt?
Das ist kein impulsives Tanken-und-Abhauen, sondern ein extrem geplanter Angriff.
In meinem ganzen Erwachsenenleben als Autofahrer hatten fast alle Zapfsäulen Kartenleser; ich stütze mich also auf vage Kindheitserinnerungen daran, für meine Eltern drinnen die Tankrechnung zu bezahlen.
Unser Bundesstaat prägt Kennzeichen inzwischen nicht einmal mehr. Wenn man so etwas montiert und die echte Nummer unverändert anzeigt – würde das jemand bemerken? Ich bin ein sehr langweiliger Mensch, daher weiß ich nicht, warum ich ein James-Bond-Gerät an mein Auto bauen sollte.
Bezahlen nach dem Tanken habe ich wirklich schon lange nicht mehr gesehen. Ich dachte, selbst die heruntergekommenen kleinen Tankstellen dort, wo ich aufgewachsen bin, seien längst alle aufgerüstet worden. Die EPA mag keine Tanks, die lange unter der Erde liegen, und weil das der größte Kostenpunkt ist, werden die elektronischen Anlagen meist gleich mit auf Bezahlen an der Zapfsäule aufgerüstet. Ich sehe keinen guten Grund, Barzahler nicht zur Vorkasse zu verpflichten.
Wenn die Zapfsäule dazu gebracht wird, kostenlos Benzin auszugeben: Wie lange dauert es, bis ein Tankstellenmitarbeiter merkt, dass etwas nicht stimmt?
Der Titel sagt „Mann aus Detroit“, aber im Artikel selbst gibt es keinerlei Grundlage dafür, dass der Dieb männlich ist oder aus Detroit stammt.
Aus irgendeinem Grund wird man, wenn man innerhalb von 25 Meilen von Detroit lebt, als jemand bezeichnet, der „in Detroit wohnt“, selbst wenn man in Wirklichkeit kein einziges Mal im Jahr in die Stadt fährt. Medien sagen normalerweise „Metro Detroit“, wenn sie jemanden meinen, der nicht tatsächlich in der Stadt Detroit[0] lebt; nach dem Standort der Tankstelle zu urteilen, ist es aber gut möglich, dass er tatsächlich in der Stadt wohnt.
[0] In solchen Fällen kann es auch jemand sein, der in einem der drei Countys wohnt.
Genau deshalb ist es eine schlechte Idee, überall IoT dranzukleben. Die meisten Firmen, die solche Produkte bauen, kümmern sich nicht um Sicherheit.
Wahrscheinlicher ist, dass es eine Bluetooth-Schnittstelle zur Wartungs- oder Steuerungsschnittstelle gab. Das ist eine Funktion für reguläre Wartungsarbeiten, die möglicherweise nicht ordentlich geschützt war.
Das erste Problem ist, dass die Firmen, die Geräten Funk-/IoT-Funktionen hinzufügen, außer dem Ausstellen von Schecks kaum etwas mit Implementierung oder Sicherheit zu tun haben. Ich habe früher bei einer Firma gearbeitet, die IoT-Geräte für große Marken[0] gebaut hat. Diese Firmen können gut Zahnbürsten, Glühbirnen und Staubsauger herstellen, aber sie holen jemanden dazu, der ihnen „das komplette IoT-Produkt baut“, oder lagern den IoT-Teil und dessen Sicherheit an Firmen wie unsere aus, um daran zusammenzuarbeiten.
Natürlich waren auch wir an der Herstellung des eigentlichen Produkts kaum beteiligt. Wir verwendeten oft chinesische White-Label-Produkte, und häufig – wenn auch nicht immer – wählte der Hersteller sie ausdrücklich aus. Große Marken bestehen für langfristige Wartung und Kostensenkung oft auf einem bestimmten chinesischen Zulieferer[1].
Was wir bekommen, ist ein Entwicklungsboard und ein Gerät, bei dem ein ESP8266/ESP32 an das zu „IoT-isierende“ Objekt angeschlossen ist, sowie ein Cloud-Dienst, der im Herkunftsland, fast immer China, gehostet wird. Der Entwickler schreibt die Mobile App und die Firmware, die mit diesem Cloud-Webdienst interagiert; wir können diesen Dienst aber weder kontrollieren noch umgehen noch zusätzliche Sicherheitsschichten vorschlagen. So entsteht ein Problemfeld anderer Leute[2].
Auch Firmen, die sich um Sicherheit kümmern, tun das meist nur bis hin zu irgendeinem Branchenstandard mit Abkürzung. Im Wesentlichen füllen sie wahrheitsgemäß ein paar Formulare aus, dass sie die Anforderungen erfüllen; diese dienen aber nur dazu, die Beteiligten vor Verantwortlichkeiten zu schützen, die außerhalb dessen liegen, wonach die Organisation hinter der Abkürzung fragt. Viele dieser Fragen werden an den Drittanbieter weitergereicht, der den Cloud-Dienst betreibt, und der weiß natürlich, welche Kästchen er ankreuzen muss, um bezahlt zu werden.
[0] Ich mochte meinen früheren Arbeitgeber, daher lasse ich die Markennamen weg, aber eines der betreffenden Produkte war populär genug, dass meine Eltern es zu Weihnachten geschenkt bekamen. Es war ziemlich amüsant zu erklären, dass ein Teil des Codes, den ich geschrieben hatte, auf den Handys meiner Eltern läuft.
[1] Das Muster war: „Die erste nutzerfreundliche und polished App-Version machen wir“, danach gehen Wartung und Updates zwischen Hardware-Versionen an den jeweiligen OEM. Die erste Version wird so sicher wie möglich gemacht, aber am Ende bleibt es nicht dabei. Man zwingt den OEM nicht, die erste Version zu verwenden; sobald sie aber veröffentlicht ist, kostet das Hinzufügen von Funktionen nur noch ein Zehntel, und der Betrag, den sie nach Fertigstellung des ersten Produkts zu zahlen bereit sind, liegt ebenfalls ungefähr in dieser Größenordnung.
[2] Someone Else's Problem, ein Ausdruck aus Douglas Adams’ The Hitchhiker's Guide to the Galaxy.
Alles, was es gibt, ist die Aussage eines Sprechers der Polizei von Detroit: „Wir wissen nicht, welche Art von Gerät verwendet wurde, aber wir wissen, dass es ein elektronisches Gerät war.“
Gibt es außer dem Beitrag von Fox 2 News noch einen anderen Artikel?
In den letzten Jahren gab es einige Berichte darüber, dass in Orlando, Texas und anderswo billige selbstgebaute Geräte verwendet wurden.
https://www.clickorlando.com/news/local/2022/05/24/gas-pump-...
Meine Hypothese ist, dass bei der Herstellung der Zapfsäulen Komponenten mit Bluetooth-Funktion verbaut wurden, diese aber weder von der Pumpe noch von der Tankstelle genutzt werden und aus Zeit- und Kostengründen einfach drin geblieben sind.
Es gibt viele Single-Board-Computer, bei denen Bluetooth, Wi-Fi und andere Funkfunktionen aktiviert sind und dann vergessen werden. Wenn man zum Beispiel versucht, ein Notebook ohne eingebaute Kamera zu bekommen, ist es deutlich teurer als ein Modell mit Kamera. Ich vermute, dass bei der Herstellung von Zapfsäulen etwas Ähnliches passiert.
Auch der Firmware-Stack dürfte einer ähnlichen „Bequemlichkeit“ folgen. Nach dem Motto: „Die Library zum Betrieb von [Chip/Funk/was auch immer] ist schon da – warum sollte man etwas, das jetzt funktioniert, ohne Bluetooth neu kompilieren?“
Dieses Funkmodul müsste irgendwie einen Softwarepfad durch den Stack bis zur Geschäftslogik der Anwendung haben, die die Pumpe steuert. Wenn es sich nicht um eine grundlegende Schwachstelle auf dem Niveau „Bluetooth-Treiber öffnet eine Root-Shell“ handelt, muss irgendwo Software existieren, die an dieser Funktion beteiligt ist.
Auch „warum ohne Bluetooth neu kompilieren“ klingt seltsam. Man kann es doch einfach abschalten – warum müsste man da irgendetwas neu kompilieren?