Старший брат следит за тобой. Как защитить себя в цифровом мире - страница 213
Такие же уязвимости, как Cayla, имеет кукла Hello Barbie компании Mattel[1164], записывающая разговоры в MP3-файлы и размещающая их в незашифрованном виде в облаке. В пользовательском соглашении указано, что разговоры анализируются сотрудниками компании для выявления случаев насилия над ребенком, а в случае преступления компания уведомляет полицию. Функция обнаружения подозрительной активности действует также в режиме ожидания, т. е. когда игрушка не используется: Hello Barbie записывает все происходящее вокруг[1165].
Серверы другого производителя интерактивных игрушек, компании Spiral Toys, взламывали не менее трех раз, что приводило к утечке персональных данных и аудиозаписей пользователей. Компания производит плюшевых животных CloudPets[1166]. Могут быть взломаны и сами игрушки. Согласно результатам исследования[1167], можно, находясь от игрушек на расстоянии 10–30 м, получить несанкционированный доступ к ним с помощью смартфона с приложением, сканирующим диапазон частот, на которых работают BLE[1168] -устройства. Злоумышленник может скачать аудиозаписи разговоров с игрушкой, подключиться к микрофону, а также загрузить модифицированную прошивку (обновления не подписываются и не шифруются, проверяется только контрольная сумма CRC16).
КЕЙС В ноябре 2015 г. с серверов компании VTech произошла утечка данных, затрагивающая 5 млн учетных записей пользователей высокотехнологичных устройств этой компании. VTech разрабатывает «умные» игрушки, радио– и видеоняни, электронные обучающие игрушки, а также беспроводные телефоны, осветительное оборудование и аудиоустройства. Среди скомпрометированных данных оказались не только логины, пароли и IP-адреса, сведения о детях (об их имени, поле и дате рождения), но и 190 Гб фотографий с десятками тысяч изображений детей, сделанных IoT-устройствами VTech по всему миру[1169].
Особенно опасными стоит считать IoT-устройства, допускающие определение местонахождения владельца. В первую очередь к таким девайсам можно отнести «умные» часы, которые родители приобретают своим детям для экстренной связи с ними, определения их местонахождения и подслушивания разговоров их приятелей. К примеру, в 2015 г. в устройствах hereO для самых маленьких были выявлены уязвимости, одна из которых касалась API веб-сервиса, с помощью которого родитель взаимодействовал с «умными» часами ребенка. Из-за бреши в системе защиты злоумышленник мог внедриться в семейный круг и следить в реальном времени за местонахождением и перемещениями чужого ребенка, а также за смартфонами других участников семьи. Уязвимость была закрыта лишь спустя несколько месяцев[1170]. Тем не менее аналогичные опасности угрожают и другим моделям «умных» часов, особенно произведенным малоизвестными китайскими компаниями.
КЕЙС В 2015 г. ИБ-специалисту из Citrix Рахулу Саси удалось обнаружить и эксплуатировать уязвимость в программном обеспечении Linux для платформы ARM, используемом для управления квадрокоптером Parrot AR Drone 2.0, и перехватить управление им прямо в полете, переключив радиосоединение и запустив вирус. Потенциально таким образом можно создавать ботнет-сети из квадрокоптеров, а также перехватывать видеоизображение с камер, которыми оборудованы беспилотные летательные аппараты[1171].
«Взрослые» гаджеты
Регулярно выявляются уязвимости в аппаратном и программном обеспечении спортивных IoT-девайсов, таких как фитнес-браслеты, и даже «взрослые игрушки». Причем в некоторых случаях нарушения конфиденциальности достигают серьезных масштабов. Так, компания Strava, создав в 2017 г. интерактивную карту[1172] использования фитнес-гаджетов и приложений, выявила расположение военных баз США, России и других стран, используя среди прочих данные с трекеров, применяемых военнослужащими. Особенно это было заметно на картах стран Африки и Ближнего Востока по следам от трекеров, располагающихся за сотни километров от населенных пунктов[1173]. Спустя год, в 2018 г., «прославилось» похожее приложение – Polar Flow. Оно раскрыло не только метки на карте, но и некоторые медицинские показатели людей, установивших эту программу; их маршруты; даты и время, когда они выполняли упражнения, и их длительность, а также координаты мест жительства и работы пользователей (как правило, люди включали фитнес-трекеры при выходе из дома, отображая метку на карте)
