Старший брат следит за тобой. Как защитить себя в цифровом мире

КЕЙС В ноябре 2015 г. с серверов компании VTech произошла утечка данных, затрагивающая 5 млн учетных записей пользователей высокотехнологичных устройств этой компании. VTech разрабатывает «умные» игрушки, радио– и видеоняни, электронные обучающие игрушки, а также беспроводные телефоны, осветительное оборудование и аудиоустройства. Среди скомпрометированных данных оказались не только логины, пароли и IP-адреса, сведения о детях (об их имени, поле и дате рождения), но и 190 Гб фотографий с десятками тысяч изображений детей, сделанных IoT-устройствами VTech по всему миру[1169].

Особенно опасными стоит считать IoT-устройства, допускающие определение местонахождения владельца. В первую очередь к таким девайсам можно отнести «умные» часы, которые родители приобретают своим детям для экстренной связи с ними, определения их местонахождения и подслушивания разговоров их приятелей. К примеру, в 2015 г. в устройствах hereO для самых маленьких были выявлены уязвимости, одна из которых касалась API веб-сервиса, с помощью которого родитель взаимодействовал с «умными» часами ребенка. Из-за бреши в системе защиты злоумышленник мог внедриться в семейный круг и следить в реальном времени за местонахождением и перемещениями чужого ребенка, а также за смартфонами других участников семьи. Уязвимость была закрыта лишь спустя несколько месяцев[1170]. Тем не менее аналогичные опасности угрожают и другим моделям «умных» часов, особенно произведенным малоизвестными китайскими компаниями.

КЕЙС В 2015 г. ИБ-специалисту из Citrix Рахулу Саси удалось обнаружить и эксплуатировать уязвимость в программном обеспечении Linux для платформы ARM, используемом для управления квадрокоптером Parrot AR Drone 2.0, и перехватить управление им прямо в полете, переключив радиосоединение и запустив вирус. Потенциально таким образом можно создавать ботнет-сети из квадрокоптеров, а также перехватывать видеоизображение с камер, которыми оборудованы беспилотные летательные аппараты[1171].

«Взрослые» гаджеты

Регулярно выявляются уязвимости в аппаратном и программном обеспечении спортивных IoT-девайсов, таких как фитнес-браслеты, и даже «взрослые игрушки». Причем в некоторых случаях нарушения конфиденциальности достигают серьезных масштабов. Так, компания Strava, создав в 2017 г. интерактивную карту[1172] использования фитнес-гаджетов и приложений, выявила расположение военных баз США, России и других стран, используя среди прочих данные с трекеров, применяемых военнослужащими. Особенно это было заметно на картах стран Африки и Ближнего Востока по следам от трекеров, располагающихся за сотни километров от населенных пунктов[1173]. Спустя год, в 2018 г., «прославилось» похожее приложение – Polar Flow. Оно раскрыло не только метки на карте, но и некоторые медицинские показатели людей, установивших эту программу; их маршруты; даты и время, когда они выполняли упражнения, и их длительность, а также координаты мест жительства и работы пользователей (как правило, люди включали фитнес-трекеры при выходе из дома, отображая метку на карте)[1174].

Кроме того, даже если данные, передаваемые IoT-девайсом, шифруются, можно выявить некоторые подробности взаимодействия владельца с гаджетом, проанализировав паттерны трафика. Выявляя характерные особенности, можно определить, спит ли владелец трекера Sense; узнать о включении и выключении устройств с помощью электрических выключателей и розеток Wemo; выяснить, когда пользователь говорит со смарт-колонкой Amazon Echo, и т. п.[1175]