Старший брат следит за тобой. Как защитить себя в цифровом мире - [173]
КЕЙС В 2015 г. ИБ-специалисту из Citrix Рахулу Саси удалось обнаружить и эксплуатировать уязвимость в программном обеспечении Linux для платформы ARM, используемом для управления квадрокоптером Parrot AR Drone 2.0, и перехватить управление им прямо в полете, переключив радиосоединение и запустив вирус. Потенциально таким образом можно создавать ботнет-сети из квадрокоптеров, а также перехватывать видеоизображение с камер, которыми оборудованы беспилотные летательные аппараты[1171].
«Взрослые» гаджеты
Регулярно выявляются уязвимости в аппаратном и программном обеспечении спортивных IoT-девайсов, таких как фитнес-браслеты, и даже «взрослые игрушки». Причем в некоторых случаях нарушения конфиденциальности достигают серьезных масштабов. Так, компания Strava, создав в 2017 г. интерактивную карту[1172] использования фитнес-гаджетов и приложений, выявила расположение военных баз США, России и других стран, используя среди прочих данные с трекеров, применяемых военнослужащими. Особенно это было заметно на картах стран Африки и Ближнего Востока по следам от трекеров, располагающихся за сотни километров от населенных пунктов[1173]. Спустя год, в 2018 г., «прославилось» похожее приложение – Polar Flow. Оно раскрыло не только метки на карте, но и некоторые медицинские показатели людей, установивших эту программу; их маршруты; даты и время, когда они выполняли упражнения, и их длительность, а также координаты мест жительства и работы пользователей (как правило, люди включали фитнес-трекеры при выходе из дома, отображая метку на карте)[1174].
Кроме того, даже если данные, передаваемые IoT-девайсом, шифруются, можно выявить некоторые подробности взаимодействия владельца с гаджетом, проанализировав паттерны трафика. Выявляя характерные особенности, можно определить, спит ли владелец трекера Sense; узнать о включении и выключении устройств с помощью электрических выключателей и розеток Wemo; выяснить, когда пользователь говорит со смарт-колонкой Amazon Echo, и т. п.[1175]
Если говорить о товарах категории «18+», от утечек данных не защищены даже вибраторы, например We-Vibe 4 Plus. Это устройство через Bluetooth ежеминутно передает на смартфон (и далее – на сервер разработчика) сведения об использовании: о включении и выключении устройства, режиме работы и температуре (позволяя таким образом следить за использованием девайса в реальном времени)[1176]. А вибратор Siime Eye американской компании Svakom, оснащенный встроенной камерой, в режиме реального времени передает изображение с видеокамеры, расположенной на его кончике, на другое устройство через Wi-Fi-сеть. При этом устройство работает как точка доступа Wi-Fi со стандартным (без возможности изменения пользователем) именем сети для всех устройств: Siime Eye. Для защиты доступа используется дефолтный пароль 88888888, поэтому злоумышленник, находящийся в зоне доступа сигнала, может установить мобильное приложение Siime Eye, ввести учетные данные и подключиться к видеокамере на вибраторе (и просмотреть сделанные ранее видеозаписи и изображения). Кроме того, панель управления устройством доступна в сети Siime Eye по адресу 192.168.1.1:80 с логином admin и без пароля – с настройками, стандартными для всех устройств линейки. Также возможен и удаленный доступ к устройству из Сети после активации порта Telnet и с помощью неизменного root-аккаунта. Внеся изменения в его прошивку (которая изначально предназначалась для квадрокоптеров, судя по функциям отправки изображений на электронную почту и в Skype), злоумышленник может изменить функциональность устройства таким образом, чтобы отснятый контент автоматически отсылался на сторонний сервер – например, для трансляций в даркнете[1177].
В качестве третьего примера можно привести продукцию гонконгского производителя Lovense, вибраторы которого из-за бага в программном коде при использовании записывали все окружающие звуки и передавали записи на связанное с устройством мобильное приложение[1178]. А в 2021 г. стало известно об уязвимости мужских поясов верности Cellmate производства китайской компании Qiui. Проблема устройств заключалась в возможности несанкционированного доступа к API, который используется для связи между гаджетом и связанным с ним мобильным приложением. Хакеры могли не только удаленно управлять поясами, но и получать доступ к информации о жертве, включая сведения о местоположении. Позднее хакеры стали блокировать их устройства и требовать у жертв за разблокировку 0,02 биткоина (около 53 000 рублей на момент написания книги)[1179].
КЕЙС В 2019 г. специалисты компании Avast выяснили, что свыше 600 000 GPS-трекеров, использующихся для регистрации местоположения детей, пожилых людей, домашних животных и т. п., защищены дефолтным паролем «123456». Получив доступ к таким устройствам, злоумышленники могут подслушать звуки, раздающиеся около владельца трекера; изменить данные о геопозиции трекера, а также узнать телефонный номер SIM-карты, которая используется в трекере. Хотя пользователи могут изменять пароль для доступа к трекеру на свой, более надежный, свыше 600 000 владельцев проигнорировали эту настройку
