В Интернете найдены 2 млрд записей с идентификаторами, паролями и географическими координатами умных приборов.
Специалисты исследовательской группы vpnMentor обнаружили в открытом доступе базу данных, содержащую конфиденциальные данные пользователей умных приборов китайского вендора Orvibo. По словам аналитиков, любой желающий может получить сведения из более чем 2 млрд логов, сформированных IoT-устройствами, в частности логины, пароли, и их местоположение.
ИБ-эксперты проинформировали производителя об утечке еще 16 июня по электронной почте и, не получив ответа в течение нескольких дней, написали на официальный Twitter-аккаунт компании. Попытки связаться с производителем также предпринимали журналисты портала BleepingComputer, однако ни в одном случае реакции вендора не последовало.
Orvibo выпускает около 100 моделей оборудования для умных домов, которые устанавливают как частные пользователи, так и организации. Список доступных устройств включает электронные замки, камеры видеонаблюдения и системы управления освещением. Как заявили специалисты vpnMentor, в обнаруженных ими базах данных хранятся:
- адреса электронной почты;
- пароли;
- коды для сброса аккаунта;
- точные координаты устройств;
- IP-адреса;
- имена и идентификаторы пользователей;
- фамилии владельцев оборудования;
- семейные идентификаторы;
- название IoT-приборов;
- данные о других подключенных устройствах;
- календарь пользователя.
Эксперты отмечают, что анализ логов показал избыточность сведений, собираемых оборудованием Orvibo о владельце. Так, местоположение устройства определяется не по IP-адресу, а хранится в виде точных географических координат.
Обладая скомпрометированными данными, злоумышленники способны организовать широкий спектр атак, включая проникновение в жилище жертвы. Как утверждают ИБ-специалисты, при помощи кода для сброса аккаунта киберпреступники могут поменять не только пароль, но и электронный адрес пользователя, полностью перехватив управление устройством. Через взломанный профиль нападающие получат возможность манипулировать видеокамерами, электронными замками, освещением и розетками.
Аналитики vpnMentor не в первый раз находят незащищенные базы данных с конфиденциальной информацией. В мае этого года специалисты опубликовали отчет об уязвимых хранилищах со сведениями о проверках информационной безопасности в крупных отельных сетях. Злоумышленники могли использовать их для определения слабых мест в компьютерной инфраструктуре гостиниц и планирования кибератак.