L’actor d’amenaces assegura haver compromès 38 dispositius i ofereix per 7.000 dòlars el control de panells de trànsit per modificar els missatges que mostren els conductors.

Un ciberdelinqüent ha publicat en un fòrum de compravenda d’informació robada un anunci en el qual assegura haver compromès part dels sistemes tecnològics que fa servir la Direcció General de Trànsit (DGT) a Barcelona. Segons el seu missatge, ofereix al millor postor el control de diferents equips emprats per gestionar la circulació per 7.000 dòlars.

El venedor sosté que disposa de privilegis d’administrador sobre la plataforma des de la qual es controlen aquests dispositius i que també pot facilitar el codi font del sistema. 

Entre els elements que suposadament estarien afectats hi hauria 38 equips, entre ells panells electrònics d’informació al conductor, càmeres de trànsit, encaminadors i altres dispositius connectats a la xarxa de gestió viària.

Aquests dispositius funcionen amb uClinux i empren protocols habituals en la gestió de panells de trànsit, com ara DGT+, DGT i NTCIP.

A més, l’atacant afirma que qui adquireixi aquesta informació podria modificar els missatges que apareixen als panells lluminosos de les carreteres i fins i tot pujar noves imatges per mostrar-les. 

Per donar suport a les vostres afirmacions, l’anunci inclou diverses captures de pantalla i enllaços que, suposadament, contenen proves del compromís.

Coincidència?

La publicació arriba pocs dies després que diversos senyals electrònics de trànsit situats a la província de Barcelona mostressin missatges no autoritzats després de ser manipulats per un actor d’amenaces, un incident del qual ens hem fet ressò en aquest mitjà. 

Encara que no hi ha cap evidència que permeti establir una relació entre tots dos fets, la coincidència temporal és, si més no, destacable. En tots dos casos, l’objectiu serien sistemes de senyalització electrònica utilitzats per informar els conductors.

A l’hora d’escriure la notícia, la DGT encara no s’havia pronunciat respecte a aquesta suposada bretxa de seguretat en els seus sistemes. 

Posteriorment, una portaveu de la DGT ha confirmat a aquest mitjà que l’organisme no ha patit directament cap ciberatac i que els seus sistemes no s’han vist intervinguts. Segons assenyala, a Catalunya les competències de Trànsit estan transferides el Servei Català de Trànsit i ignoren si ells han patit un ciberatac o bé l’ha experimentat algun dels seus proveïdors. 

Pel que fa als protocols esmentats, explica que la denominació de ‘DGT’ té sentit, ja que van ser els primers que els van desenvolupar, encara que l’atac no s’hagi dut a terme a la seva infraestructura.