Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Feb 28, 2017 Marco Schiaffino Attacchi, In evidenza, Intrusione, News, RSS, Vulnerabilità 0
L’incubo sicurezza legato alla Internet of Things (IoT) non ha fine e, ancora una volta, a mettere a repentaglio la privacy di migliaia di persone sono i cosiddetti “giocattoli intelligenti”.
Se il caso della bambola Cayla ha fatto notizia per la denuncia legata al rischio di violazioni della privacy, quello dei CloudPets è invece il primo caso in cui il rischio si è trasformato in un vero incidente di sicurezza che ha interessato i dati personali di 821.296 famiglie.
I pupazzi hi-tech, commercializzati da Spiral Toys, permettono a bambini e genitori di scambiarsi messaggi vocali utilizzando Internet e un collegamento Bluetooth tra il giocattolo e i dispositivi mobile di casa.
Insomma: un sistema simpatico per consentire a papà e mamma di rimanere in contatto con i loro figli anche quando sono lontani da casa.
Quello che gli affettuosi genitori probabilmente ignoravano, era che l’accesso a tutti i messaggi registrati e inviati con i giocattoli e le app dedicate erano affidati a un server in Romania che non aveva alcun tipo di protezione.
Ecco lo schema che spiega il funzionamento dei CloudPets. Ma papà e mamma si sono chiesti dove vengono memorizzati i messaggi dei loro figlioletti?
Ad accorgersi del fattaccio è stato Troy Hunt, uno dei gestori del sito “Have I been Pwned?”. Hunt ha notato infatti che il database MongoDB di Spiral Toys su cui erano memorizzate le informazioni degli account era esposto su Internet e, peggio ancora, era stato indicizzato dal popolare motore di ricerca Shodan.
In pratica, il server non solo aveva le porte aperte a chiunque, ma poteva essere individuato con estrema facilità.
Il prevedibile risultato è stato che un gruppo di pirati è riuscito a mettere le mani sull’intero database. Anzi: secondo Hunt i dati conservati sul server di Spiral Toy avrebbe subito numerose “visite” tra il 25 dicembre e l’8 gennaio.
Il periodo è esattamente quello in cui si sono verificati i primi casi di attacchi ransom nei confronti dei database MongoDB. Lo schema è simile a quello dei ransomware: i pirati accedono al server, fanno una copia del database e sostituiscono quello in locale con una richiesta di riscatto che gli amministratori devono pagare per riavere i loro dati.
Una tecnica semplice ed efficace, al punto che nel giro di una manciata di giorni il conto dei database MongoDB colpiti ha raggiunto quota 27.000.
Stando alla ricostruzione di Troy Hunt, non ci è voluto molto perché l’attenzione dei pirati si concentrasse anche sul di Spiral Toys: il 7 gennaio il database con i dati di più di 800.000 utenti (e le registrazioni di 2 milioni di messaggi vocali) è stato rubato e sostituito con una richiesta di riscatto.
Per restituire i dati, i pirati chiedevano 1 Bitcoin, corrispondenti in quel periodo a circa 900 dollari. Il problema, come sottolinea Hunt, è però un altro: gli hacker a quel punto avevano messo le mani sulle informazioni contenute al suo interno.
Ma quali informazioni c’erano sul database? Hunt ha fatto un’accurata ricostruzione del funzionamento del sistema usato da Spiral Toys e ha scoperto che nel database c’erano “solamente” le informazioni degli account registrati dagli utenti, protetti da un hashing bcrypt. I messaggi vocali, invece, erano conservati altrove.
Tutto bene, quindi? No. Perché utilizzare un buon sistema di hashing non è sufficiente. Le policy per la scelta della password, infatti, non prevedono alcun numero minimo di caratteri o altro parametro di sicurezza. In pratica, un utente potrebbe inserire una password di un solo carattere.
Utilizzando un attacco a dizionario con le password più comuni (come “QWERTY” o “123456”) Hunt è riuscito a cracckare buona parte degli account in una manciata di minuti.
Per quanto riguarda i messaggi, i file WAV erano conservati su server Amazon, ma nel database c’erano i collegamenti relativi a ognuno di essi, e il download poteva essere eseguito senza che fosse richiesta alcuna forma di autorizzazione.
Insomma: oltre ad aver lasciato esposto un database con informazioni sensibili, gli sviluppatori non hanno previsto un metodo per limitare l’accesso ai messaggi vocali.
Dulcis in fundo, anche quando è venuta a conoscenza dell’attacco (ed era impossibile non accorgersene) Spiral Toys non ha avvisato in alcun modo i suoi clienti. C’è bisogno di aggiungere altro?
Sì:
Lug 09, 2024 0
Mag 24, 2024 0
Feb 29, 2024 0
Gen 16, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...