Популярные «умные» вибраторы отправили в Сеть интимные данные пользователей

Безопасность Стратегия безопасности Пользователю Техника
мобильная версия
, Текст: Роман Георгиев

В «умных» секс-игрушках, подключенных к Сети обнаружен ряд уязвимостей, которые не только позволяют удаленно перехватывать управление этими устройствами, но и получать доступ к личным данным владельцев. Производитель уже исправил большинство недочетов, но ряд шагов должны предпринять и сами пользователи.


Перехват контроля над секс-игрушкой

Компания SEC Consult обнаружила ряд уязвимостей в ПО «умных» секс-игрушек Vibratissimo, которые позволяют перехватывать удаленный контроль над ними. В опубликованном бюллетене SEC Consult указывается, что крайне уязвимой была и облачная платформа, к которой эти вибраторы подключены. База данных содержит все пользовательские данные, включая «откровенные снимки», загруженные самими пользователями, логи чатов, указание сексуальной ориентации, адреса электронной почты, незашифрованные пароли, причем все это доступно всем желающим.

«Реквизиты доступа ко всей базе данных Vibratissimo оказались в общем доступе в интернете. А поскольку интерфейс PHPMyAdmin также находится в общем доступе, злоумышленник мог бы подключиться к базе данных и выкачать все сведения», - указывается в бюллетене.

Помимо этого, указывают исследователи, специализированное приложение Vibratissimo под Android использовало слабый и нерекомендуемый метод авторизации, при котором логин и пароль отправляются на сервер при каждом обращении к нему; никаких средств управления сессиями не реализовано. Но, по крайней мере, пароль и логин отправляется в зашифрованном виде.

Разнообразие «дыр» в вибраторе

Мобильное приложение также использовало функцию «быстрый контроль», позволяющую получить быстрый контроль над устройством через интернет (зачем бы то ни было). Для этого достаточно отправить уникальный идентификатор по электронной почте или через SMS.

Кадр обучающего ролика на сайте Vibratissimo

«Это в целом не составляло бы никакой проблемы, если бы ссылка с уникальным ID была случайно генерируемой или достаточно длинной. Больше того, подобный принцип был бы достаточно полезным, если бы получатель должен был подтвердить, что у него есть право на удаленное управление гаджетом. Но это не так. При этом идентификаторы присваиваются последовательно, с увеличением каждого следующего значения на единицу. Таким образом злоумышленник может легко угадать идентификатор и перехватить контроль над устройством через интернет», - говорится в бюллетене.

Устройства Vibratissimo, кроме того, поддерживают соединения по Bluetooth LE, причем никакой авторизации не требуется, что означает возможность несанкционированного перехвата управления устройством при условии, что злоумышленник находится в пределах досягаемости подключения по Bluetooth.

Наконец, сайт Vibratissimo был уязвим перед атаками отраженного межсайтового скриптинга.

После получения информации об уязвимостях, Vibratissimo предприняли множество мер по обеспечению безопасности, устранив на своей стороне все выявленные «баги». Соответствующие приложения обновлены и их рекомендуется установить как можно скорее, а также обновить прошивку непосредственно к самим устройствам. Пароли также подлежат обновлению, указывается в бюллетене SEC Consult.