- Di sebuah SPBU Shell di Detroit, terjadi insiden hampir 800 galon bensin terkuras setelah pompa dimanipulasi melalui koneksi Bluetooth dari ponsel
- Pelaku melewati sistem pompa dan membuatnya tetap dalam keadaan “terbuka”, sehingga beberapa kendaraan bisa mengisi bensin gratis
- Nilai kerugian mendekati 3.000 dolar, dan karena pompa tidak berhenti meski karyawan menekan penghentian Pump Three, diperlukan penghentian darurat untuk seluruh pompa
- SPBU tersebut merupakan lokasi peserta Project Green Light yang dipatroli polisi Detroit, sehingga rekaman pengawasan berhasil diamankan dan penyidik sedang mencari tersangka
- Metode serupa juga muncul di SPBU Speedway di Riverview, mengonfirmasi kembali adanya pencurian bensin yang menggabungkan pengalihan perhatian karyawan dan peretasan pompa
Pencurian dengan memanipulasi pompa bensin lewat Bluetooth
- Di sebuah SPBU Shell di Eight Mile and Wyoming, Detroit, seorang pria meretas pompa bensin dengan memanfaatkan fitur Bluetooth di ponselnya
- Pemilik SPBU, Mo, mengatakan pelaku membuat pompa terbuka secara otomatis sehingga kendaraan bisa terus mengisi bensin
- Dalam wawancara dengan FOX 2, Mo mengatakan jumlah kerugian sekitar 800 galon, atau nilainya mendekati 3.000 dolar
Saat kendali pompa tidak berfungsi
- Karyawan menekan Pump Three stop dari dalam, tetapi pompa tidak berhenti
- Mo harus mematikan seluruh pompa untuk menghentikannya, dan dalam proses ini harus menggunakan emergency stops
- Pelaku diduga memakai ponselnya seperti perangkat jarak jauh untuk melewati sistem
Rekaman pengawasan dan penyelidikan
- SPBU Shell tersebut adalah SPBU Project Green Light yang dipatroli polisi Detroit
- Berkat program ini, rekaman pengawasan berhasil diamankan dan penyidik sedang mencari tersangka
- Belum diungkap apakah tersangka sudah ditangkap maupun identitasnya
Modus yang muncul lagi di SPBU lain
- Di sebuah SPBU Speedway di Riverview, pada bulan yang sama juga terjadi insiden serupa
- Satu orang mengalihkan perhatian karyawan di dalam toko dengan masalah Cash App
- Orang lainnya meretas pompa
- Kerugian dalam insiden ini adalah bensin senilai 54 dolar
Tanggapan SPBU
- Mo mengatakan para karyawan kini lebih memperhatikan situasi di sekitar pompa
- Jika terlalu banyak kendaraan berkumpul di pompa tertentu atau ada seseorang yang berkeliaran terlalu lama, mereka akan meminta polisi untuk memeriksanya
- Mo berkata, “Ada batas pada apa yang bisa kami lakukan”
1 komentar
Komentar Hacker News
Saya penasaran apakah ini benar-benar Bluetooth, atau mereka mendapatkan kunci dispenser BBM atau remote controlnya
Dispenser BBM terus berkomunikasi real-time dengan controller forecourt dan terminal staf di dalam toko; saat “peretasan” ini berlangsung, apa yang terlihat di layar di dalam? Apakah penyerang memutus jalur RS485 sehingga dari dalam toko dispenser langsung terlihat offline, lalu memaksa dispenser ke mode pengeluaran manual? Saya sama sekali tidak tahu ada dispenser di pasaran saat ini yang dilengkapi Bluetooth, tapi saya ingat dispenser Wayne lama punya remote inframerah
Apa pun yang terjadi, sepertinya itu mencegah operasi dari staf, atau meninggalkan terminal staf dalam keadaan buruk sehingga, bisa dibilang, sakelar operasi pompa tetap dalam posisi “nyala”. Saya terpikir mungkin sebenarnya NFC, dan penasaran apa yang bisa ditangkap dengan Flipper Zero
Meski volumenya besar, itu belum tentu terlihat mencolok, dan meski staf merasa curiga, mereka mungkin tidak diizinkan turun tangan. Kebijakan bahwa lebih baik rugi sedikit uang daripada berisiko kehilangan pelanggan lama karena salah paham, atau staf tertembak karena sok jadi pahlawan, cukup masuk akal
Petugas kasir mungkin tidak memperhatikan, tapi kalau melihat pompa dari kasir, saya rasa hitungannya jelas sedang naik. Semuanya masih berbasis komunikasi serial, jadi kalau staf tidak terlatih atau tidak sadar, mereka bisa saja mengira ada orang yang sedang mengisi BBM. Jika laporan dispenser dan laporan penjualan tidak cocok, itu akan terlihat di laporan harian
Menurut saya, dalam 20 tahun terakhir tidak ada engineer yang akan memasukkan inframerah ke perangkat semacam ini. Pada saat yang sama, saya juga berpikir, “siapa yang akan memasukkan Bluetooth ke controller embedded mesin seperti ini?”
Artikel aslinya buruk sekali sampai bikin geleng-geleng. Saya jadi bertanya-tanya apakah orang benar-benar menghabiskan waktu membaca “berita” seperti ini, dan setelah membacanya rasanya IQ saya turun sementara
Tidak ada dasar bahwa Bluetooth digunakan, dan tidak ada dasar bahwa pelakunya berasal dari Detroit. Detail paling lengkap yang saya temukan, termasuk kutipan dari kepolisian Detroit, ada di sini: https://www.detroitnews.com/story/news/local/detroit-city/20...
Kalau membaca yang tersirat, kedengarannya satu orang melakukan peretasan, lalu beberapa orang, entah sadar atau tidak, mengisi BBM gratis. Tidak ada klaim eksplisit di mana pun bahwa satu individu tertentu mencuri 800 galon bahan bakar. Tentu saja itu tidak menghentikan puluhan situs berita di seluruh web menyebarkan “informasi” yang tidak akurat
Artikel ini tampaknya agak kurang detail. Saya tidak berharap dijelaskan persis caranya, tapi apakah ini bug atau fitur dalam desain dispenser?
Kalau seseorang bisa memarkir mobil di depan pompa lalu berkomunikasi lewat Bluetooth, menurut saya ini cacat desain dan produsennya harus bertanggung jawab. Ini terlihat seperti celah keamanan yang serius
Di Bluetooth ponsel saya tidak ada opsi seperti itu
Belum sampai 10 tahun lalu saya masih mengganti pinpad 3DES. Pada pompa yang sangat tua, Anda bisa membuka panel depan dan dengan satu obeng kecil membuat meterannya tidak berputar
Untuk apa dispenser BBM memakai Bluetooth sejak awal?
Saya rasa mungkin saja mereka tidak menonaktifkan semacam fitur bawaan dari embedded PC. Jadi mungkin sistem bisa dikuasai dengan “mencolokkan” keyboard atau mouse Bluetooth
Karena sensor semacam ini punya interface dengan controller, mungkin bisa ditambahkan perangkat man-in-the-middle yang mengubah nilai aliran menjadi jauh lebih rendah atau 0 sambil tetap membiarkan BBM mengalir. Jika perangkat itu diberi Bluetooth, ia bisa dinyalakan dan dimatikan sesuka hati, sehingga pelanggan yang patuh hukum tidak mengeluh bahwa “yang keluar lebih sedikit dari jumlah seharusnya”. Pompa tidak sering diperiksa, jadi stiker segel palsu bisa terlihat meyakinkan; saat inspeksi negara bagian jumlahnya normal; dan kalau pemilik tidak terlalu serakah sampai ketahuan, penipuan ini bisa berlangsung lama. 800 galon itu jumlah besar dan setidaknya bisa mengisi 50 mobil. Kalau orang ini mencuri 800 galon secara perlahan selama setahun, mungkin tidak ada yang akan tahu
Semakin umum teknisi menghubungkan ponsel ke peralatan rumah tangga, mesin, dan sebagainya melalui Bluetooth, dan keamanan fitur seperti ini dirancang sesederhana mungkin untuk mengurangi pertanyaan ke dukungan teknis. Hak akses mungkin bisa didapat hanya dengan memasukkan ID perusahaan servis. Ini mirip dengan operator alat berat yang mudah berbagi dan tidak mengira orang lain akan memakainya, jadi mereka membiarkan kunci tetap tertancap di kendaraan
Di sisi lain, pelat nomornya tertangkap kamera. Ini sama saja seperti menekan “bayar di dalam” lalu kabur begitu saja
Edit: Tampaknya pembayaran setelah mengisi bensin jauh lebih bergantung pada wilayah daripada yang saya kira. Bahkan pada 2023, di sebagian wilayah AS hal itu masih mungkin dilakukan
Tinggal parkir, buka pompanya, isi bensin, kunci lagi, lalu pergi. Saya tidak akan heran kalau pompa tidak punya log timestamp untuk pemanggilan fungsi perawatan Bluetooth. Kalaupun ada, berapa lama penipuan ini bisa dijalankan sebelum ada yang sadar persediaan tangki bawah tanah mulai kosong? Berapa lama rekaman CCTV disimpan?
Ini bukan sekadar dorongan impulsif mengisi bensin lalu kabur, melainkan serangan yang sangat terencana
Hampir semua pompa bensin sepanjang masa dewasa saya sebagai pengemudi sudah punya card reader, jadi saya mengandalkan ingatan samar masa kecil ketika masuk ke dalam untuk membayar bensin orang tua
Negara bagian kami sekarang bahkan tidak lagi membuat pelat nomor timbul. Kalau memasang benda seperti itu dan menampilkan nomor asli persis apa adanya, apakah ada yang akan sadar? Saya orang yang sangat membosankan, jadi saya tidak tahu kenapa saya akan memasang perangkat ala James Bond di mobil saya
Saya benar-benar sudah lama tidak melihat pembayaran setelah mengisi bensin. Saya kira bahkan SPBU kecil kumuh di tempat saya dibesarkan pun sudah lama semuanya di-upgrade. EPA tidak terlalu menyukai tangki yang lama terkubur di bawah tanah, dan karena itu biaya terbesarnya, peralatan elektroniknya juga cenderung ikut di-upgrade menjadi pembayaran di pompa. Saya tidak begitu tahu alasan untuk tidak mewajibkan pelanggan tunai membayar di muka
Kalau pompa tertipu dan mengeluarkan bensin gratis, berapa lama sampai petugas SPBU sadar ada yang tidak beres?
Judulnya menyebut “pria Detroit”, tetapi isi artikelnya sama sekali tidak menunjukkan bukti bahwa pencurinya laki-laki atau berasal dari Detroit
Entah kenapa, kalau berada dalam jarak 25 mil dari Detroit, bahkan orang yang sebenarnya tidak pernah ke kota itu sekali pun dalam setahun akan disebut “tinggal di Detroit”. Media biasanya memakai istilah “Metro Detroit” untuk merujuk orang yang sebenarnya tidak tinggal di kota Detroit[0], tetapi melihat lokasi SPBU-nya, mungkin saja orang itu memang tinggal di dalam kota
[0] Dalam kasus seperti itu, bisa juga orang tersebut tinggal di salah satu dari tiga county
Inilah sebabnya menempelkan IoT pada segala hal adalah ide buruk. Kebanyakan perusahaan yang membuat produk seperti ini tidak peduli soal keamanan
Lebih mungkin mereka membiarkan interface Bluetooth terbuka untuk antarmuka perawatan/kontrol. Itu mungkin fungsi yang dipakai untuk pekerjaan perawatan normal, tetapi tidak dilindungi dengan benar
Masalah pertama adalah perusahaan yang menambahkan fitur nirkabel/IoT ke perangkat hampir tidak ada hubungannya dengan implementasi atau keamanan selain menandatangani cek. Dulu saya bekerja di perusahaan yang membuat perangkat IoT untuk merek besar[0]. Mereka pandai membuat sikat gigi, lampu, dan penyedot debu, tetapi mereka memanggil seseorang untuk “membuat seluruh produk IoT”, atau berkolaborasi dengan menyerahkan bagian IoT dan keamanannya kepada tempat seperti kami
Tentu saja kami juga tidak terlalu terlibat dalam pembuatan produk itu sendiri. Kami sering memakai produk China white-label, dan sering pula—meski tidak selalu—pabrikan dipilih secara eksplisit. Merek besar juga kerap bersikeras memakai pemasok China tertentu demi pemeliharaan jangka panjang dan penghematan biaya[1]
Yang kami terima adalah development board dan perangkat dengan ESP8266/ESP32 yang dipasang pada benda yang akan dijadikan IoT, serta layanan cloud yang di-host di negara asalnya, hampir selalu China. Developer menulis aplikasi mobile dan firmware yang berinteraksi dengan layanan web cloud itu, tetapi kami tidak bisa mengendalikan layanan tersebut, tidak bisa melewatinya, dan tidak bisa mengusulkan lapisan keamanan tambahan. Begitulah ladang masalah milik orang lain tercipta[2]
Perusahaan yang peduli keamanan pun biasanya hanya peduli sampai standar industri berakronim tertentu. Pada dasarnya mereka mengisi beberapa formulir dengan jujur bahwa persyaratan terpenuhi, tetapi itu hanya berfungsi melindungi pihak terkait dari tanggung jawab di luar ruang lingkup pertanyaan organisasi yang menetapkan akronim tersebut. Banyak dari pertanyaan itu dilempar ke pihak ketiga yang menjalankan layanan cloud, dan tentu saja mereka tahu kotak mana yang harus dicentang agar dibayar
[0] Saya menyukai tempat kerja lama saya jadi nama mereknya saya hilangkan, tetapi salah satu produk terkait cukup populer sampai orang tua saya menerimanya sebagai hadiah Natal. Cukup menyenangkan menjelaskan bahwa sebagian kode yang saya tulis berjalan di ponsel orang tua saya
[1] Polanya adalah “serahkan versi awal aplikasi yang ramah pengguna dan polished kepada kami”, lalu pemeliharaan dan pembaruan di antara versi hardware diserahkan ke OEM tersebut. Versi pertama diamankan sejauh mungkin, tetapi pada akhirnya tidak begitu. Mereka tidak membuat OEM memakai versi awal, tetapi setelah produk dirilis, menambahkan fitur biayanya sepersepuluh, dan jumlah yang bersedia mereka bayarkan setelah produk awal selesai juga kira-kira sebesar itu
[2] Someone Else's Problem, ungkapan dari The Hitchhiker's Guide to the Galaxy karya Douglas Adams
Yang ada hanya pernyataan juru bicara kepolisian Detroit bahwa “kami tidak tahu jenis perangkat apa yang dipakai, tetapi kami tahu itu adalah perangkat elektronik”
Apakah ada artikel lain selain yang dari Fox 2 News?
Dalam beberapa tahun terakhir ada beberapa laporan soal perangkat rakitan murah yang dipakai di Orlando, Texas, dan tempat lain
https://www.clickorlando.com/news/local/2022/05/24/gas-pump-...
Hipotesis saya adalah bahwa dalam pembuatan dispenser BBM digunakan komponen yang memiliki fitur Bluetooth, tetapi meski tidak dipakai oleh pompa atau SPBU, fitur itu dibiarkan begitu saja demi kecepatan dan biaya
Ada banyak single-board computer yang kemampuan Bluetooth, Wi-Fi, dan nirkabel lainnya tetap menyala lalu terlupakan. Misalnya, kalau mencoba mencari laptop tanpa kamera bawaan, harganya jauh lebih mahal daripada model yang punya kamera. Saya menduga hal serupa mungkin terjadi juga dalam pembuatan dispenser BBM
Stack firmware-nya juga mungkin mengikuti “kemalasan” serupa. Semacam, “library untuk menjalankan [chip/nirkabel/apa pun] sudah ada, jadi kenapa harus mengompilasi ulang sesuatu yang sudah bisa berjalan sekarang tanpa Bluetooth”
Perangkat nirkabel itu harus punya jalur software yang entah bagaimana menembus stack hingga ke logika bisnis aplikasi yang mengendalikan pompa. Kecuali ini kerentanan dasar setingkat driver Bluetooth yang membuka root shell, harus ada software di suatu tempat yang ikut terlibat dalam fungsi ini
“Kenapa mengompilasi ulang tanpa Bluetooth” juga terdengar aneh. Cukup dimatikan saja, kenapa harus mengompilasi ulang sesuatu?