Aggiornamenti recenti Aprile 23rd, 2024 9:15 AM
Feb 28, 2017 Marco Schiaffino Attacchi, In evidenza, Intrusione, News, RSS, Vulnerabilità 0
L’incubo sicurezza legato alla Internet of Things (IoT) non ha fine e, ancora una volta, a mettere a repentaglio la privacy di migliaia di persone sono i cosiddetti “giocattoli intelligenti”.
Se il caso della bambola Cayla ha fatto notizia per la denuncia legata al rischio di violazioni della privacy, quello dei CloudPets è invece il primo caso in cui il rischio si è trasformato in un vero incidente di sicurezza che ha interessato i dati personali di 821.296 famiglie.
I pupazzi hi-tech, commercializzati da Spiral Toys, permettono a bambini e genitori di scambiarsi messaggi vocali utilizzando Internet e un collegamento Bluetooth tra il giocattolo e i dispositivi mobile di casa.
Insomma: un sistema simpatico per consentire a papà e mamma di rimanere in contatto con i loro figli anche quando sono lontani da casa.
Quello che gli affettuosi genitori probabilmente ignoravano, era che l’accesso a tutti i messaggi registrati e inviati con i giocattoli e le app dedicate erano affidati a un server in Romania che non aveva alcun tipo di protezione.
Ad accorgersi del fattaccio è stato Troy Hunt, uno dei gestori del sito “Have I been Pwned?”. Hunt ha notato infatti che il database MongoDB di Spiral Toys su cui erano memorizzate le informazioni degli account era esposto su Internet e, peggio ancora, era stato indicizzato dal popolare motore di ricerca Shodan.
In pratica, il server non solo aveva le porte aperte a chiunque, ma poteva essere individuato con estrema facilità.
Il prevedibile risultato è stato che un gruppo di pirati è riuscito a mettere le mani sull’intero database. Anzi: secondo Hunt i dati conservati sul server di Spiral Toy avrebbe subito numerose “visite” tra il 25 dicembre e l’8 gennaio.
Il periodo è esattamente quello in cui si sono verificati i primi casi di attacchi ransom nei confronti dei database MongoDB. Lo schema è simile a quello dei ransomware: i pirati accedono al server, fanno una copia del database e sostituiscono quello in locale con una richiesta di riscatto che gli amministratori devono pagare per riavere i loro dati.
Una tecnica semplice ed efficace, al punto che nel giro di una manciata di giorni il conto dei database MongoDB colpiti ha raggiunto quota 27.000.
Stando alla ricostruzione di Troy Hunt, non ci è voluto molto perché l’attenzione dei pirati si concentrasse anche sul di Spiral Toys: il 7 gennaio il database con i dati di più di 800.000 utenti (e le registrazioni di 2 milioni di messaggi vocali) è stato rubato e sostituito con una richiesta di riscatto.
Per restituire i dati, i pirati chiedevano 1 Bitcoin, corrispondenti in quel periodo a circa 900 dollari. Il problema, come sottolinea Hunt, è però un altro: gli hacker a quel punto avevano messo le mani sulle informazioni contenute al suo interno.
Ma quali informazioni c’erano sul database? Hunt ha fatto un’accurata ricostruzione del funzionamento del sistema usato da Spiral Toys e ha scoperto che nel database c’erano “solamente” le informazioni degli account registrati dagli utenti, protetti da un hashing bcrypt. I messaggi vocali, invece, erano conservati altrove.
Tutto bene, quindi? No. Perché utilizzare un buon sistema di hashing non è sufficiente. Le policy per la scelta della password, infatti, non prevedono alcun numero minimo di caratteri o altro parametro di sicurezza. In pratica, un utente potrebbe inserire una password di un solo carattere.
Utilizzando un attacco a dizionario con le password più comuni (come “QWERTY” o “123456”) Hunt è riuscito a cracckare buona parte degli account in una manciata di minuti.
Per quanto riguarda i messaggi, i file WAV erano conservati su server Amazon, ma nel database c’erano i collegamenti relativi a ognuno di essi, e il download poteva essere eseguito senza che fosse richiesta alcuna forma di autorizzazione.
Insomma: oltre ad aver lasciato esposto un database con informazioni sensibili, gli sviluppatori non hanno previsto un metodo per limitare l’accesso ai messaggi vocali.
Dulcis in fundo, anche quando è venuta a conoscenza dell’attacco (ed era impossibile non accorgersene) Spiral Toys non ha avvisato in alcun modo i suoi clienti. C’è bisogno di aggiungere altro?
Sì:
Feb 29, 2024 0
Gen 16, 2024 0
Dic 20, 2023 0
Dic 19, 2023 0
Apr 23, 2024 0
Apr 22, 2024 0
Apr 22, 2024 0
Apr 22, 2024 0
Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Apr 12, 2024 0
Al Google Next ’24 abbiamo assistito a un interessante...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...Apr 22, 2024 0
Nel periodo compreso tra il 13 e il 19 aprile,...Apr 22, 2024 0
I cyber attacchi moderni riescono a colpire anche le...Apr 22, 2024 0
Il JPCERT Coordination Center, l’organizzazione...Apr 22, 2024 0
Akira ha colpito più di 250 organizzazioni in tutto il...