O especialista em segurança cibernética Ryan Castellucci conseguiu tomar o controle de uma usina de energia virtual, com capacidade para abastecer 40 mil residências, ao hackear a conta de administrador da GivEnergy, uma empresa britânica. Ele conseguiu isso ao explorar uma falha na criptografia RSA de 512 bits usada pela empresa.
Em uma postagem feita em seu site na quarta-feira (7), Castellucci relatou que havia instalado painéis solares e um sistema de armazenamento de energia da GivEnergy em sua própria casa. Durante a análise da API da plataforma que gerencia o serviço localmente, ele identificou uma vulnerabilidade na criptografia do software, permitindo que ele a quebrasse.
Com essa brecha explorada, Castellucci obteve acesso ao sistema de gerenciamento de energia como administrador, controlando uma rede de 60 mil sistemas instalados, todos conectados à nuvem da empresa. Segundo o ArsTechnica, esses sistemas geram, em conjunto, cerca de 200 MW.
A invasão, que ocorreu em julho, também deu a Castellucci a capacidade de acessar dados de outros clientes, como nomes, endereços, e-mails e números de telefone, além de permitir o controle da usina de energia virtual. No entanto, o hacker ético assegurou que não alterou nenhuma dessas informações.
Após ser contatada por Castellucci sobre a vulnerabilidade na chave RSA de 512 bits, a GivEnergy confirmou a existência da falha. A empresa esclareceu que a tecnologia criptográfica fazia parte de uma biblioteca de terceiros e havia sido adotada nos primeiros anos da empresa, quando ainda era pequena.
A GivEnergy informou que a falha foi corrigida ao substituir a ferramenta de segurança antiga por uma chave criptográfica mais robusta e atualizada na API. Castellucci confirmou que, após a correção, a exploração da falha já não era possível.
Em comunicado aos clientes, a empresa revelou que a falha poderia ter exposto dados pessoais ou permitido a reconfiguração remota das baterias. No entanto, uma análise dos registros do sistema indicou que a vulnerabilidade não foi explorada de maneira maliciosa.