W grudniu 2019 roku ośmioletnia dziewczynka spała w pokoju wyposażonym w nową kamerę monitorującą. Urządzenie działało poprawnie, a rodzice czuli się bezpiecznie dzięki technologii oferowanej przez gigantów technologicznych. Głośnik urządzenia jednak zaczął emitować dziecięcą piosenkę, po której usłyszały męski głos przybierający postać Świętego Mikołaja rozmawiającego z córką.
Łatwe wejście dla atakujących
Sprawdziła się teoria, że najszybszym sposobem na włamanie do systemu jest nie szukanie luk w kodzie źródłowym, lecz znalezienie słabego ogniwa u użytkownika. W przypadku kamery Ring producenta Amazonu problemem okazało się konto e-mailowe rodziców.
W tamtym okresie dwuskładnikowa uwierzytelnianie nie było wymogiem bezpieczeństwa i często pomijane przez klientów podczas konfiguracji aplikacji w telefonie. Atakujący kupił dostęp do konta na forach darknetowych za niewielkie pieniądze, uzyskując pełną kontrolę nad urządzeniem.
Obietnice prywatności a rzeczywistość
Innym przykładem jest konsultant bezpieczeństwa Paul Moore, który przetestował kamerę marki Eufy. Firma reklamowała swoje produkty jako całkowicie bezpieczne i nieprzekazyujące danych do chmury bez zgody użytkownika.
Badania przeprowadzone przez eksperta wykazały jednak, że nawet przy wyłączonym zapisie w obłoku urządzenie wysyłało miniatury twarzy rozpoznawanych na zewnątrz domu. Po pół roku firma cicho usunęła te obietnice prywatności ze swojej dokumentacji produktowej.
Globalna sieć nieautoryzowanych transmisji
Istnieje również agregator Insecam, który udostępnia tysiące kamer z domów na całym świecie. Serwerzy tego serwisu znajdują się w Europie Wschodniej i transmitują obraz wnętrza mieszkań bez wiedzy właścicieli.
Użytkownik może kliknąć link prowadzący do widoku sklepu spożywczego, biura czy łóżeczka niemowlęcia. Jednocześnie na tę samą scenę patrzą setki osób z różnych krajów, co stanowi trzecią kategorię zagrożenia dla prywatności domowników.
Czwarta klasa ataków: ukryte luki w routerze
Najbardziej niebezpiecznym jest czwarte zagrożenie, które właściciel kamery rzadko zauważa nawet po dokładnej analizie ustawień routera. Jest to technicznie zaawansowany sposób na uzyskanie dostępu do urządzenia bez ingerencji w samą kamerę.
Problemem może być funkcja UPnP (Universal Plug and Play), która pozwala urządzeniom sieciowym automatycznie otwierać porty niezbędne dla ich działania. W przypadku domowych kamer IoT często jest ona niepotrzebnie aktywna, co ułatwia zdalne włamania.
Jak chronić się przed hakerami?
Aby uniknąć podobnych incydentów warto regularnie aktualizować oprogramowanie na urządzeniach oraz stosować silne hasła do kont e-mailowych powiązanych z aplikacjami IoT. Nie należy też ignorować ostrzeżeń producenta dotyczących bezpieczeństwa.
Wybierając kamerę monitorującą, należy sprawdzić politykę prywatności firmy i upewnić się, że dane nie są przetwarzane w sposób niezgodny z deklaracją marketingową. Bezpieczeństwo zaczyna się od świadomego użytkowania technologii.