Ao trabalhar com Rauch, o MBTA criou um programa de divulgação de vulnerabilidades para cooperar com hackers amigáveis que concordaram em compartilhar as vulnerabilidades de segurança cibernética que encontraram. Os adolescentes dizem que foram convidados para uma reunião no MBTA que incluiu nada menos que 12 executivos da agência, todos os quais pareciam gratos por sua disposição de compartilhar suas descobertas. Os funcionários do MBTA pediram aos alunos do ensino médio que não revelassem suas descobertas por 90 dias e mantivessem os detalhes de suas técnicas de hacking de soma de verificação em sigilo, mas concordaram que não interfeririam em nenhuma apresentação de seus resultados. Os quatro adolescentes dizem que acharam o diretor de segurança da informação da MBTA, Scott Margolis, especialmente fácil de trabalhar. “Cara fantástico”, diz Bertocchi.
Os adolescentes dizem que, assim como com a técnica de clonagem de Rauch, a autoridade de trânsito parece estar tentando combater sua técnica detectando cartões alterados e bloqueando-os. Mas eles dizem que apenas uma pequena fração dos cartões que adicionaram dinheiro foram capturados. “As mitigações que eles têm não são realmente um patch que sela a vulnerabilidade. Em vez disso, eles jogam maluco com as cartas que aparecem”, diz Campbell.
“Alguns de nossos cartões foram desativados, mas a maioria passou”, acrescenta Harris.
Então, todos os quatro estão usando sua técnica de hackear CharlieCard para percorrer o sistema de metrô de Boston de graça? “Sem comentários.”
Por enquanto, a equipe de hackers está feliz por poder dar sua palestra sem a censura pesada que o MBTA tentou com seu processo há 15 anos. Harris argumenta que o MBTA provavelmente aprendeu sua lição com essa abordagem, que apenas chamou a atenção para as descobertas dos hackers. “É ótimo que eles não estejam fazendo isso agora – que não estejam dando um tiro no próprio pé. E é muito menos estressante para todos”, diz Harris.
Ele também está feliz, por outro lado, que o MBTA tenha adotado uma abordagem tão dura para a palestra de 2008 que chamou sua atenção e iniciou a pesquisa do grupo quase uma década e meia depois. “Se eles não tivessem feito isso”, diz Harris, “não estaríamos aqui”.
Atualização 17:00 ET, 10 de agosto de 2023: Adicionado um formulário de declaração de um porta-voz da MBTA.
