Старший брат следит за тобой. Как защитить себя в цифровом мире

Угрозу может представлять даже использование подключенных детских игрушек, о чем мы уже говорили в главе 6. Следует отметить особенную важность защиты таких устройств как производителем, так и родителями. Во-первых, если дети самостоятельно регистрируют и настраивают аккаунт/приложение, они не интересуются вопросами конфиденциальности и используют слабые пароли, игнорируют параметры безопасности (например, аккаунт виден всем, а не только «друзьям») и т. п. Даже если настройки произведены взрослым, с соблюдением мер безопасности, ребенок способен случайно или намеренно изменить их, что может привести к утечке персональных данных или взлому. Во-вторых, общаясь с «умным» устройством, дети могут сообщить персональную информацию, которую родители предпочли бы держать в тайне. Риск существенно возрастает, если доступ к управлению «умной» игрушкой получают злоумышленники. В ходе MitM-атаки они могут разговаривать с ребенком от лица игрушки и пугать его[1162], выведывать уязвимую информацию (например, просить прочитать цифры на банковской карте родителей), организовать квартирную кражу или даже похищение ребенка (с помощью игрушки попросить его открыть дверь, сказав, что на улице его ждут родители).

КЕЙС В 2015 г. Федеральное сетевое агентство Германии рекомендовало покупателям куклы My Friend Cayla уничтожить игрушку из-за проблем с безопасностью в Bluetooth-соединении. Играя с куклой Cayla, ребенок общается с ней, задавая ей вопросы и отвечая на ее вопросы. Игрушка записывает речь ребенка и передает ее на смартфон, где соответствующее приложение преобразует речь в текст, а затем ищет ответ в своей базе данных или сервере компании-разработчика. Далее ответ пересылается кукле и озвучивается. Оказалось, что политика конфиденциальности допускает обработку записей на сервере компании-разработчика и передачу их сторонним компаниям, например рекламным. Кроме того, злоумышленник мог подключиться к незащищенному каналу связи между игрушкой и приложением и перехватывать или даже подменять аудиозаписи, подслушивать речь ребенка и задавать ему вопросы, например: «Когда родителей нет дома?»[1163]

Такие же уязвимости, как Cayla, имеет кукла Hello Barbie компании Mattel[1164], записывающая разговоры в MP3-файлы и размещающая их в незашифрованном виде в облаке. В пользовательском соглашении указано, что разговоры анализируются сотрудниками компании для выявления случаев насилия над ребенком, а в случае преступления компания уведомляет полицию. Функция обнаружения подозрительной активности действует также в режиме ожидания, т. е. когда игрушка не используется: Hello Barbie записывает все происходящее вокруг[1165].

Серверы другого производителя интерактивных игрушек, компании Spiral Toys, взламывали не менее трех раз, что приводило к утечке персональных данных и аудиозаписей пользователей. Компания производит плюшевых животных CloudPets[1166]. Могут быть взломаны и сами игрушки. Согласно результатам исследования[1167], можно, находясь от игрушек на расстоянии 10–30 м, получить несанкционированный доступ к ним с помощью смартфона с приложением, сканирующим диапазон частот, на которых работают BLE[1168] -устройства. Злоумышленник может скачать аудиозаписи разговоров с игрушкой, подключиться к микрофону, а также загрузить модифицированную прошивку (обновления не подписываются и не шифруются, проверяется только контрольная сумма CRC16).