Un giornalista di WIRED ha scoperto sulla propria pelle quanto possano essere insicuri gli smartwatch per bambini. Durante un test di sicurezza, due ricercatori sono riusciti a localizzarlo, fotografarlo e persino ascoltare le sue conversazioni attraverso un dispositivo da meno di 30 dollari. Il tutto senza che il piccolo orologio mostrasse alcun segno di intrusione. Questo esperimento, presentato alla conferenza Black Hat, rivela una vulnerabilità di sistema che coinvolge decine di milioni di dispositivi in tutto il mondo.
Un attacco silenzioso partito da Brooklyn
Tutto è iniziato quando il ricercatore Paul Stykas ha comunicato al giornalista di conoscerne la posizione esatta. Stykas stava monitorando i suoi spostamenti attraverso il GPS del dispositivo, che pur funzionando male trasmetteva a un server remoto gli identificativi delle reti Wi-Fi vicine. Questo ha permesso di tracciare ogni passo lungo una strada di Brooklyn. Mezz'ora dopo, all'arrivo nella sede di WIRED a Manhattan, Stykas ha sfruttato una funzione per scattare una foto silenziosa dalla fotocamera dell'orologio, catturando il momento in cui il giornalista entrava in ascensore. Poco dopo, un altro scatto lo ritraeva alla scrivania. Utilizzando poi il microfono, ha attivato l'audio e un secondo ricercatore, Felipe Solferini, ha ascoltato un collega raccontare una visita a una mostra d'arte. Nessun indicatore visibile avvisava che il dispositivo era sotto controllo.
Sponsored Protocol
Una filiera di fornitura insicura
Il dispositivo in questione è prodotto da un'azienda sconosciuta, la CJC, e fabbricato da YiQingTeng Electronics a Shenzhen, in Cina. Ma ciò che preoccupa di più è che la piattaforma su cui si basa, chiamata SETracker, è utilizzata da decine di altri marchi. I ricercatori hanno analizzato più di 70 dispositivi GPS e hanno scoperto che oltre 30 di essi condividono la stessa infrastruttura di YiQingTeng, nota anche come Wonlex o Shenzhen 3G Electronics. Un'altra trentina di brand per il tracciamento di auto e bambini si appoggia alla piattaforma NewGPS2012. Insieme a un terzo sistema, SinoTrack, queste tre catene di fornitura alimentano decine di milioni di dispositivi.
Sponsored Protocol
Vulnerabilità critiche e rischi concreti
Le falle di sicurezza riscontrate sono estremamente gravi. In alcuni casi, manca completamente l'autenticazione, permettendo a chiunque di accedere a qualsiasi dispositivo. Questo significa che un malintenzionato potrebbe tracciare un bambino, disattivare la localizzazione, intercettare o alterare messaggi, sostituire i contatti di emergenza, ascoltare le conversazioni e persino attivare fotocamera e microfono. Per i dispositivi per auto, i ricercatori hanno trovato vulnerabilità che potrebbero consentire di sbloccare o disattivare i veicoli. Inoltre, alcuni problemi sul lato server esponevano i dati personali degli utenti o consentivano l'esecuzione di codice arbitrario. Stykas ha sottolineato la gravità della situazione: "Milioni di bambini sono esposti a sfruttamento. È catastrofico. Per molti malintenzionati è un gioco da ragazzi."
Sponsored Protocol
Il problema del white-label
La diversità di marchi sul mercato è illusoria. Molti prodotti apparentemente diversi condividono lo stesso backend vulnerabile. Un genitore che acquista un orologio 'SafeKid' in Svezia e uno 'SaveFamily' in Spagna inviano entrambi i dati del bambino allo stesso server myaqsh.com su Alibaba Cloud in Cina. Una vulnerabilità in un singolo backend compromette decine di marchi contemporaneamente, senza che i consumatori possano sapere quale piattaforma stanno utilizzando. Questo modello white-label amplifica enormemente l'impatto di ogni singola falla.
Risposta delle aziende e stato attuale
I ricercatori hanno avvertito le aziende coinvolte per mesi. Un rappresentante di SETracker ha inizialmente affermato che i problemi erano già stati risolti, ma i ricercatori hanno dimostrato che era ancora possibile hackerare un dispositivo quella stessa settimana. Solo poche ore prima della presentazione al Black Hat, i loro attacchi contro SETracker hanno smesso di funzionare, ma non è chiaro se tutte le falle siano state corrette. SinoTrack e NewGPS2012 non hanno risposto alle richieste di commento, e i ricercatori affermano che i loro attacchi contro questi sistemi funzionano ancora. Hanno trovato anche prove di una precedente compromissione dei sistemi NewGPS2012.
Sponsored Protocol
Questo caso evidenzia la necessità di una maggiore consapevolezza e regolamentazione per i dispositivi IoT. I genitori dovrebbero verificare le politiche di sicurezza dei produttori prima di acquistare uno smartwatch per i propri figli. Per approfondire tematiche simili, si può leggere l'articolo su AWS IoT Core e Azure IoT Hub e su Web3.js e Ethers.js, che trattano la sicurezza nelle tecnologie emergenti. Inoltre, per un contesto più ampio sulle vulnerabilità dei dispositivi indossabili, si può consultare Wikipedia.
Fonte: https://www.wired.com/story/hackers-stalked-me-by-hijacking-a-smartwatch-for-kids
