Véleménycikkünkben az építőipar és az ingatlanüzemeltetés kiberveszélyeiről kérdeztük Boros Robint, a Telekom kiberbiztonsági szakértőjét. A téma azért is aktuális, mert nemrégiben Franciaországban több élelmiszeripari objektumba hatoltak be hackerek és a hűtőpultokat felmelegítették, több százmilliós kárt okozva a tulajdonosoknak.
Az építőipar digitalizációja sokáig a tervezőasztal körül zajlott. A BIM-modellek, a felhőben közösen szerkesztett tervdokumentációk és a projektmenedzsment-platformok ma már a napi munkát segítik. Közben a digitalizáció észrevétlenül átlépett a fizikai térbe is: érzékelők, beléptetők, kamerák, kazánok, hűtők, liftek, redőnyök és légkezelők kerültek hálózatra. Az építkezésen GPS-es gépek, telematikai rendszerek, viselhető biztonsági eszközök, drónok és valós idejű állapotfigyelők gyűjtenek adatot; az átadott épületben pedig a BMS felügyeli a fűtést, a hűtést, a világítást, az energiafelhasználást és gyakran a belépést is. A felhő és a távoli karbantartás miatt ezek a rendszerek már nem feltétlenül az épület falain belül maradnak.
Ez a fejlődés indokolt. Az automatizálás csökkentheti az energiafogyasztást, segíthet a hibák korai felismerésében, növelheti a dolgozók biztonságát és olcsóbbá teheti az üzemeltetést. Az IoT-eszközök, a BIM, a digitális ikrek, a robotizáció és a felhő összekapcsolása az építőipart is egy adatvezérelt, folyamatosan optimalizált működés felé viszi. A kockázat ott kezdődik, amikor a hálózatba kötést kész megoldásnak tekintjük, miközben a biztonsági felelősség, a frissítés, a hozzáférés és az incidenskezelés gazdátlan marad. Az ENISA okosépületekről szóló vizsgálata is külön hangsúlyozza, hogy a gyártók, integrátorok, szolgáltatók és épülettulajdonosok közös ökoszisztémájában kell kezelni a fenyegetéseket, nem csupán az egyes eszközöket.
Kalmár Zoltán: Mi a legnagyobb kiberbiztonsági kihívás ma az ingatlanszektorban, és miért esik ez gyakran a figyelem alá?
Boros Robin: A legnagyobb kihívás nem egyetlen sérülékenység vagy támadócsoport, hanem az, hogy az épületüzemeltetés kiberfizikai rendszerei gyakran kiesnek a vállalati felelősségi térképből. A BMS, a HVAC, a hűtés, a beléptetés, a videómegfigyelés, a liftfelügyelet vagy az energiairányítás sok esetben nem az IT-osztályhoz tartozik. Az FM-csapat, egy épületgépészeti vállalkozó, az automatizálási integrátor vagy egy gyártói szerviz kezeli őket. Az IT közben lehet, hogy nem is tud ezek létezéséről; az üzemeltető pedig nem feltétlenül kap kiberbiztonsági képzést, eszközleltárt vagy incidenskezelési támogatást.
Ez a széttagoltság történetileg érthető. Az épületautomatizálás sokáig elkülönített, zárt rendszereken működött. A távoli felügyelet, a mobilalkalmazások, az energiamenedzsment és a felhőalapú karbantartás azonban lebontotta ezt a határt. Egy ma telepített vezérlő lehet Etherneten, mobilhálózaton vagy gyártói felhőn keresztül elérhető, és a hozzáféréshez használt fiókok, VPN-ek, távoli asztali kapcsolatok és API-k már a hagyományos informatikai biztonság területére is tartoznak. Ha egy alvállalkozói fiók korlátlan hozzáférést ad, ha az eszköz közvetlenül az internetre néz, vagy ha a hálózati szegmentáció csak a tervrajzon létezik, a támadó nem feltétlenül a vállalati tűzfalat próbálja áttörni: elég lehet a kevésbé védett vezérlő.
Idén egy kutatás megerősítette, hogy a Danfoss AK-SM 800A hűtésvezérlőknél például hitelesítés megkerülésére alkalmas hibát találtak, majd hitelesített hozzáférés után távoli kódfuttatást lehetővé tevő parancsinjekciót dokumentáltak. A kutatók több ezer internet felől látható vezérlőfelületet azonosítottak. Ez nem bizonyítja, hogy a későbbi francia támadók ezeket a hibákat használták, de megmutatja, miért veszélyes az a feltevés, hogy az üzemeltetési technológia automatikusan elszigetelt. A gyártó javított firmware-t adott ki; a kutatók pedig azt javasolták, hogy a vezérlőfelületeket ne tegyék közvetlenül internetre, és csak korlátozott, megbízható hálózatból vagy védett VPN-en keresztül legyenek elérhetők.(1)
A kiberbiztonság azért kerül gyakran háttérbe, mert az épület „csak működik”. Amíg a hűtés tartja a hőmérsékletet, a beléptető nyitja az ajtót, a lift jár, és a légkezelő nem jelez hibát, addig a rendszer láthatatlannak tűnik. A beruházáskor a funkció, az energiahatékonyság és az ár kerül előtérbe; a tíz-tizenöt évre szóló frissítési terv, a beszállítói hozzáférés visszavonása, a naplózás és a helyreállítás viszont nem feltétlenül. A korszerű épület tehát egyszerre lehet hatékony és sérülékeny.
Kalmár Zoltán: Mit tanít a friss hűtőrendszer-támadás az irodaházak, logisztikai központok és bevásárlóközpontok tulajdonosainak?
Boros Robin: A hűtőket érintő októberi támadásról a legpontosabb nyilvános kép 2026. október 14-én az, hogy a legsúlyosabb, részletesen dokumentált esemény Franciaországban történt. Több száz üzlet hűtési rendszere érintett volt, és egyes vezérlőket olyan leolvasztási ciklusra állítottak, amely miatt a hűtőterekben rendkívül magas hőmérséklet alakult ki. Élelmiszert kellett megsemmisíteni, tüzekről is érkezett jelentés, az Intermarché pedig tízmillió eurós nagyságrendű napi veszteségről számolt be. Más európai országokból, köztük Spanyolországból is jelentettek érintettséget, miközben a francia és a holland incidensek közötti kapcsolatot a hatóságok nem erősítették meg. Elkövetőt vagy nyilvános zsarolókövetelést egyelőre nem neveztek meg.
A legfontosabb tanulság, hogy a támadó nem feltétlenül adatot akar lopni vagy váltságdíjat követelni. Egy ipari vezérlőn elérhető, teljesen legitim funkció — például a leolvasztás — is kárt okozhat, ha illetéktelen módosítja. A támadás pontos belépési módját még vizsgálják. A nyilvánosságra került sebezhetőségi elemzés nem bizonyítja, hogy az elkövetők az ott ismertetett CVE-ket használták; és a beszállítói távoli hozzáférés említése sem zárja ki a közvetlenül internetre kitett eszközöket vagy más hibás hozzáférés-kezelést. A helyes következtetés nem az, hogy „a Danfoss hibája okozta”, hanem az, hogy a régi és hálózatról elérhető vezérlőrendszer, a karbantartási modell és az üzemi folyamat együtt alkot támadási felületet. Az október 14-i helyzetkép szerint a francia hatóságok még aktív támadásokra figyelmeztettek, és biztonságos VPN-t, védett hálózati elérést, firmware-frissítést és jelszócserét javasoltak.
Egy budapesti irodaházban ennek megfelelője nem feltétlenül egy látványos „mindent lekapcsoló” támadás. Elég lehet, ha nyári kánikulában leáll a hűtés, vagy ha a szerverterem klímáját olyan beállításra módosítják, amely túlmelegedést és szolgáltatáskiesést okoz. Ugyanilyen súlyos lehet a beléptetés működésképtelenné tétele, az ajtók jogosulatlan nyitása, a parkolórendszer leállása, a liftfelügyelet zavarása, vagy a tűz- és füstjelzéshez kapcsolódó rendszerbe vetett bizalom megingása. A rosszindulatú beavatkozás mellett a hibás konfiguráció, a kieső szolgáltatói felhő vagy a túl széles körű karbantartói jogosultság is okozhat fizikai következményt.
A logisztikai központban a hűtőlánc megszakadása, a kapuk és rakodórámpák leállása, a raktári vezérlés vagy a készletadatok elérhetetlenné válása teszi kézzelfoghatóvá a kockázatot. Egy bevásárlóközpontban az épületautomatika, a mozgólépcsők, a parkolás, a beléptetés és a kereskedői rendszerek egymástól való függése okozhat láncreakciót. A tulajdonosnak ezért nem pusztán azt kell kérdeznie, hogy „biztonságos-e a BMS?”, hanem azt is: mely szolgáltatás áll le, milyen idő alatt keletkezik elfogadhatatlan kár, ki dönt a kézi üzemre váltásról, és van-e működő helyreállítási terv?
Kalmár Zoltán: Ki a felelős, ha egy épület rendszerét feltörik?
Boros Robin: A felelősség ritkán vezethető vissza egyetlen szereplőre. A tulajdonos határozza meg a biztonsági és üzletmenet-folytonossági elvárásokat, biztosítja a beruházási keretet, és felel az épület rendeltetésszerű, biztonságos használatáért. Az üzemeltető végrehajtja a napi működést, kezeli a hozzáféréseket és észleli a rendellenességeket. A bérlő felel a saját rendszereiért, de gyakran nem lát rá az épület közös infrastruktúrájára. A gyártó a termékbiztonságért, a sérülékenységek kezeléséért és a támogatási életciklusért visel felelősséget. Az integrátor telepíti és konfigurálja a rendszert; a karbantartó pedig gyakran olyan távoli jogosultságot kap, amely nélkül az épület nem tartható fenn gazdaságosan.
Ezt a valóságot a szerződéseknek is tükrözniük kell. Az SLA ne csak rendelkezésre állási százalékot és hibaelhárítási időt rögzítsen. Legyen benne név szerinti felelősség a patch-ekért és firmware-frissítésekért, a támogatási életciklus lejárta előtti jelzés, a távoli hozzáférés engedélyezési és naplózási rendje, az egyedi fiókok és többtényezős hitelesítés követelménye, a sérülékenység-bejelentési határidő, az incidens közös kivizsgálása, valamint a hálózati és konfigurációs mentések visszaállításának rendje. A szerződés mondja ki, ki kapcsolhat le egy vezérlőt incidens idején, hogyan biztosítják a manuális vagy biztonságos üzemmódot, és kinek kell értesítenie a tulajdonost, a bérlőket, a biztosítót vagy a hatóságot.
A francia eset kapcsán egyelőre nem támasztható alá az az általános állítás, hogy a láncok minden felelősséget a beszállítóra hárítottak, vagy hogy a biztosítók nem fizetnek. A nyilvános beszámolók hatósági vizsgálatról és beszállítói együttműködésről szólnak; a konkrét szerződéses jogviták és biztosítói döntések nem ismertek. A biztosítási fedezetet ezért nem lehet egy hír alapján megítélni. A kötvényben külön ellenőrizni kell a kiberesemény, a fizikai kár, az üzletmenet-kiesés, az alvállalkozói incidens, a közmű- vagy szolgáltatáskiesés és a nem támogatott eszközök kizárásait. A kárbejelentés feltétele lehet a naplózás, a rendszerleltár és az előírt biztonsági intézkedések dokumentálása.
A legjobb szerződés nem a felelősséget tolja át, hanem a feladatokat osztja ki. A tulajdonosnak kell legyen egy felelős vezetője az épület kiberfizikai kockázataiért; az IT, az FM, a bérlő és a szolgáltatók közösen pedig gyakorolják végig, mi történik, ha a beléptetés, a hűtés vagy a vezérlőhálózat nem megbízható.
Kalmár Zoltán: Mely nemzetközi példák mutatják meg, hogyan válik az épület vagy a gyár támadási felületté?
Boros Robin: A legismertebb, bár már az ötéves incidens a Target üzletlánc-incidens 2013-ból. A támadók egy HVAC- és hűtési szolgáltatóhoz köthető, ellopott beszállítói hitelesítő adatokkal jutottak be a Target vállalati környezetébe, majd a hálózaton belül a fizetési rendszerekig jutottak. Ez nem azt jelenti, hogy a hűtő vezérlőjén keresztül közvetlenül „feltörte” a pénztárakat. A tanulság a harmadik fél fiókjának túl széles hozzáférése és a szegmentáció elégtelensége: egy alvállalkozó belépése nem terjedhet át a pénztári hálózatra. Az amerikai Kongresszusi Kutatószolgálat és a szenátusi vizsgálat a beszállítói hozzáférés és a biztonsági kontrollok hiányosságait tárgyalta; Brian Krebs részletes incidensrekonstrukciója a kezdeti fiókkompromittálást és a támadók hálózaton belüli mozgását ismertette.(2)
Egy közvetlen épületautomatizálási példa a 2021-ben feltárt német KNXlock támadássorozat. Egy középvállalati épület automatizálási rendszeréhez interneten keresztül fértek hozzá; a támadók több száz KNX-eszköz konfigurációját törölték, majd olyan kulcsot állítottak be, amely kizárta az üzemeltetőt. Az eszközök körülbelül háromnegyede működésképtelenné vált, köztük világítási, mozgásérzékelési és redőnyvezérlési elemek. A Limes Security technikai elemzése szerint az elkövetők a KNX egy biztonsági funkcióját fordították romboló eszközzé: előbb kiürítették az eszközöket, majd lezárták őket, egyes esetekben fizikai visszaállítást is megnehezítve. Itt nem kifinomult kémprogram kellett, hanem a protokoll sajátosságainak ismerete és a hálózatról elérhető rendszer.(3)
2022-ben a Predatory Sparrow néven ismert csoport iráni acélművek vezérlőrendszereit támadta. A Khuzestan Steel egyik üzemében a támadás fizikai folyamatot zavart meg, és a közzétett kamerafelvételen olvadt acél kiömlése, majd tűz látható. Az incidens műszaki rekonstrukciójában a WIRED által megszólaltatott elemző szerint a támadók a vezérlőfelületekhez és a folyamatot irányító rendszerekhez fértek hozzá; egyes HMI-felületek és kamerák interneten keresztül is észlelhetők voltak. A pontos végrehajtási lánc nyilvános forrásokban nem teljesen igazolt, de az eset világosan megmutatta, hogy egy rossz parancs már nem „adatvesztés”: embereket és gyártóeszközöket veszélyeztethet.(4)
Ugyancsak 2021-ben a Kaseya VSA elleni ellátásilánc-támadás után a svéd Coop mintegy 800 üzletét kellett bezárni, mert a kasszákat kiszolgáló informatikai szolgáltatás nem működött. Ez nem épületautomatizálási támadás volt, hanem megmutatta, milyen gyorsan válik a digitális függőség fizikai üzletbezárássá. A CISA a Kaseya-rendszerek leállítását javasolta, a CSIS pedig az ügyet a tömeges, MSP-szolgáltatói láncon keresztül terjedő zsarolóvírus következményeként elemezte.(5)
2022-ben a Kojima Industries elleni támadás miatt a Toyota leállította a japán gyárai termelését, mert egy fontos beszállító kiesése veszélyeztette a just-in-time ellátást. 2023-ban az MGM Resorts incidense pedig azt mutatta meg, hogy egy szálloda fizikai működése mennyire függhet az informatikától: a foglalás, a digitális szobakulcs, a fizetés és a vendégkiszolgálás több helyen akadozott. Ezek nem klasszikus BMS-hackek, ezért nem szabad annak beállítani őket, de tanulságuk közös: a gyár, az üzlet vagy a szálloda akkor is leállhat, ha a támadó nem nyúlt közvetlenül a géphez vagy a légkezelőhöz. Az informatikai rendszer a fizikai szolgáltatás egyik üzemi feltételévé vált.(6)
A leggyakoribb belépési pontot ezért nem lehet egyetlen választásra szűkíteni. A távoli karbantartói hozzáférés és a beszállítói fiók gyakori kapu; az internetre kitett kezelőfelület, az alapértelmezett vagy újrahasznált jelszó, a hiányzó többfaktoros hitelesítés és a frissítetlen, életciklusuk végén járó eszközök pedig egymást erősítik. Az épületautomatizálásnál egyetlen „gyenge láncszem” helyett rendszerint hibás telepítési és üzemeltetési modell található: nincs eszközgazda, nincs naprakész konfigurációs mentés, és a szolgáltató hozzáférése nem korlátozott időben, célban vagy jogosultságban.
Kalmár Zoltán: Ha egy ingatlantulajdonos vagy üzemeltető holnap reggel kezdené, mi legyen az első három lépés?
Boros Robin: Első: leltár és kitettségvizsgálat. Készüljön teljes lista a BMS-ről, HVAC-ról, hűtésről, beléptetésről, kamerákról, liftekről, tűzjelzőhöz kapcsolódó rendszerekről, energiafelügyeletről és minden felhő- vagy távoli karbantartási kapcsolatról. Minden elemhez legyen felelős, gyártó, modell, firmware-verzió, hálózati hely, internetes kitettség, támogatási státusz és szolgáltatói hozzáférés. Első prioritásként azonosítani kell a közvetlenül internetre kitett felületeket, az ismeretlen eszközöket és a közös jelszavakat. A vizsgálat ne aktív, engedély nélküli internetes szkennelésből induljon: a saját eszközök és a szolgáltatók által jóváhagyott módszerek alapján történjen.
Második: a távoli hozzáférés és az életciklus rendezése. A közvetlen internetes elérést meg kell szüntetni vagy szigorúan korlátozni; a karbantartás dedikált VPN-en vagy más ellenőrzött átjárón keresztül történjen. Legyen személyhez kötött fiók, többtényezős hitelesítés, időkorlátos engedély, jóváhagyás, naplózás és a hozzáférés automatikus visszavonása a munka végén. Az alapértelmezett jelszavakat cserélni kell, a felesleges portokat és szolgáltatásokat le kell zárni. Az életciklus végén járó eszközöknél készüljön csere- vagy kockázatcsökkentési terv; a „nem frissíthető, de még működik” nem elfogadható állandó állapot. A vezérlőhálózat legyen elkülönítve a vállalati IT-től, a bérlői hálózatoktól és a vendég Wi-Fi-től, és csak a szükséges kommunikáció legyen engedélyezett.
Harmadik: felelősség, helyreállítás és gyakorlat. Az IT, az FM, a tulajdonos, a bérlő és minden kritikus beszállító közösen nevezze meg a rendszergazdát, az incidensvezetőt és az üzemeltetési döntéshozót. Legyen offline vagy védett konfigurációs mentés, dokumentált manuális működési eljárás, valamint sorrend arra, hogy hiba esetén először a beléptetést, hűtést, szervertermi klímát vagy más kritikus funkciót állítják-e helyre. Egy rövid gyakorlaton próbálják el, hogyan működik az épület, ha a távoli hozzáférést azonnal le kell tiltani, a BMS-adatok megbízhatatlanok, vagy a bérlők nem tudnak belépni. Az IT-hálózat visszaállítása önmagában nem bizonyítja, hogy az épület biztonságosan újra üzemeltethető.
A NIS2 hazai alkalmazása sem úgy működik, hogy minden ingatlantulajdonos automatikusan a szabályozás alá kerül. A 2024. évi LXIX. törvény mellékletei ágazatok és szervezettípusok szerint határozzák meg a hatályt; az építőipar vagy az ingatlankezelés önmagában nem szerepel általános ágazatként. Ugyanakkor érintett lehet például az energetikai, távhő- és hűtési, élelmiszeripari, gyártási, hulladékgazdálkodási, digitális vagy közszolgáltatási tevékenységet végző, a törvényi méret- és egyéb feltételeknek megfelelő szervezet, illetve a hatóság által kijelölt kritikus vagy fontos szervezet. A törvény bizonyos kockázatos ágazatokban az 50 főt elérő, illetve a meghatározott árbevételi és mérlegfőösszeg-küszöböt teljesítő szervezeteket is bevonja. Így egy ingatlancég szolgáltatási profilja, mérete, csoporttagsága vagy kritikus szervezetként történő kijelölése döntő lehet; nem elég csak a cég főtevékenységi kódját megnézni.
A megfelelőségi vizsgálatot ezért a konkrét jogalanyra és a tényleges szolgáltatásra kell elvégezni. Az első körben a különösen fontos szolgáltatást nyújtó vagy kijelölt szervezetek, a szabályozott mellékletekbe tartozó megfelelő méretű vállalatok, valamint az ilyen szereplők kritikus beszállítói kerülnek előtérbe. Az utóbbiak akkor is kaphatnak szigorú biztonsági követelményeket a szerződésükben, ha maguk nem tartoznak közvetlenül a törvény hatálya alá. A NIS2 tehát nem helyettesíti az ingatlanüzemeltetés felelősségét: a kiberkockázatot a beszállítói láncban is kezelni kell.
A tulajdonosnak nem kell minden épületgépészeti csomaghoz saját kiberbiztonsági csapatot építenie. Azt viszont el kell érnie, hogy legyen egyértelmű felelős, naprakész leltár, korlátozott távoli hozzáférés, támogatott eszközpark és kipróbált helyreállítási terv. A modern épület nem attól okos, hogy minden vezérlője online van. Attól válik ellenállóvá, hogy az összekapcsoltságot tudatosan tervezték meg — és egy incidens után is biztonságosan működtethető.
Források:
Egyéb források:
ENISA: Cybersecurity Measurements Investigation for Smart Buildings
Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény — Nemzeti Jogszabálytár