Старший брат следит за тобой. Как защитить себя в цифровом мире - страница 214

Кроме того, даже если данные, передаваемые IoT-девайсом, шифруются, можно выявить некоторые подробности взаимодействия владельца с гаджетом, проанализировав паттерны трафика. Выявляя характерные особенности, можно определить, спит ли владелец трекера Sense; узнать о включении и выключении устройств с помощью электрических выключателей и розеток Wemo; выяснить, когда пользователь говорит со смарт-колонкой Amazon Echo, и т. п.[1175]

Если говорить о товарах категории «18+», от утечек данных не защищены даже вибраторы, например We-Vibe 4 Plus. Это устройство через Bluetooth ежеминутно передает на смартфон (и далее – на сервер разработчика) сведения об использовании: о включении и выключении устройства, режиме работы и температуре (позволяя таким образом следить за использованием девайса в реальном времени)[1176]. А вибратор Siime Eye американской компании Svakom, оснащенный встроенной камерой, в режиме реального времени передает изображение с видеокамеры, расположенной на его кончике, на другое устройство через Wi-Fi-сеть. При этом устройство работает как точка доступа Wi-Fi со стандартным (без возможности изменения пользователем) именем сети для всех устройств: Siime Eye. Для защиты доступа используется дефолтный пароль 88888888, поэтому злоумышленник, находящийся в зоне доступа сигнала, может установить мобильное приложение Siime Eye, ввести учетные данные и подключиться к видеокамере на вибраторе (и просмотреть сделанные ранее видеозаписи и изображения). Кроме того, панель управления устройством доступна в сети Siime Eye по адресу 192.168.1.1:80 с логином admin и без пароля – с настройками, стандартными для всех устройств линейки. Также возможен и удаленный доступ к устройству из Сети после активации порта Telnet и с помощью неизменного root-аккаунта. Внеся изменения в его прошивку (которая изначально предназначалась для квадрокоптеров, судя по функциям отправки изображений на электронную почту и в Skype), злоумышленник может изменить функциональность устройства таким образом, чтобы отснятый контент автоматически отсылался на сторонний сервер – например, для трансляций в даркнете[1177].

В качестве третьего примера можно привести продукцию гонконгского производителя Lovense, вибраторы которого из-за бага в программном коде при использовании записывали все окружающие звуки и передавали записи на связанное с устройством мобильное приложение[1178]. А в 2021 г. стало известно об уязвимости мужских поясов верности Cellmate производства китайской компании Qiui. Проблема устройств заключалась в возможности несанкционированного доступа к API, который используется для связи между гаджетом и связанным с ним мобильным приложением. Хакеры могли не только удаленно управлять поясами, но и получать доступ к информации о жертве, включая сведения о местоположении. Позднее хакеры стали блокировать их устройства и требовать у жертв за разблокировку 0,02 биткоина (около 53 000 рублей на момент написания книги)[1179].

С фитнес-браслетов и «умных» часов, как и с прочих IoT-гаджетов и связанных с ними приложений собираются статистические данные об использовании, формируя миллионы профилей с предпочтениями каждого владельца. Эту информацию разработчики девайсов могут продавать (и продают[1181]) сторонним компаниям, и не только маркетинговым, но, к примеру, страховым, чтобы те могли оценить состояние здоровья потенциального клиента и риск возникновения у него каких-либо заболеваний – а это может влиять на стоимость страховки