Уязвимость безопасности, обнаруженная в умных дверных звонках, подвергает миллионы пользователей риску кибератак

Рынок умных дверных звонков со встроенными камерами стремительно растёт, появляется всё больше брендов, устройств, версий и продавцов, из-за чего покупателям становится всё сложнее найти безопасные и надежные продукты.

В частности, по данным Consumer Reports, в этих устройствах отсутствуют базовые средства контроля доступа к сетевому трафику, что позволяет посторонним лицам свободно получать доступ к личным видеоматериалам пользователей.

Выводы из Consumer Reports?

По данным расследования, проведенного Consumer Reports, в умных дверных звонках со встроенными камерами обнаружены опасные уязвимости безопасности, которые потенциально позволяют злоумышленникам получить несанкционированный доступ к видеозаписям, управлять функциями дверного звонка или даже красть личную информацию.

Всё началось с того, что журналист Consumer Reports получил электронное письмо с фотографиями, на которых он машет рукой камере дверного звонка. На самом деле, эти фотографии были отправлены Стивом Блэром, инженером по безопасности и конфиденциальности Consumer Reports, который успешно взломал систему дверного звонка, находясь на расстоянии 4923 километров.

Блэр и его коллега, инженер-испытатель Делла Рокка, копнули глубже и обнаружили уязвимости безопасности в дешевой, небезопасной электронике от китайских производителей, продаваемой на таких платформах электронной коммерции, как Amazon, Walmart, Sears и Shein.

Эти дверные звонки не имеют уникального идентификационного номера (ID), присваиваемого каждому электронному устройству Федеральной комиссией по связи (FCC), что делает их распространение в США незаконным. FCC использует этот идентификатор для отслеживания устройств, продаваемых на рынке США, и обеспечения их соответствия стандартам безопасности.

Отсутствие идентификатора FCC на умных дверных звонках является серьезной проблемой, поскольку это означает, что эти устройства могут не соответствовать стандартам безопасности, что может подвергнуть пользователей риску кибератак или кражи их личных данных.

Исследователи обнаружили проблемы безопасности как минимум в 10 умных дверных звонках со встроенными камерами, продаваемых под китайскими брендами Eken и Tuck. Все исследованные звонки управлялись через мобильное приложение Aiwit, принадлежащее Eken. Кроме того, два продукта других китайских брендов, Fishbot и Rakeblue, также содержали аналогичные уязвимости безопасности.

Eken и Tuck — бренды умных дверных звонков, которые демонстрируют высокие продажи. Многие из них представлены на Amazon, а только в январе 2024 года было продано более 4200 товаров. Эти звонки также доступны на Walmart.com, sears.com и международных торговых площадках Shein и Temu под другими названиями, такими как Andoe, Gemee и Luckwolf.

Тысячи этих умных дверных звонков ежемесячно продаются на Amazon и других платформах электронной коммерции, включая Walmart, Sears и такие всемирно известные платформы электронной коммерции, как Shein и Temu. Эксперты по безопасности утверждают, что это лишь капля в море дешёвых и небезопасных электронных устройств от китайских производителей, продающихся по всему миру.

Потенциальные опасности

Любой, у кого есть физический доступ к дверному звонку, может получить доступ к устройству без специальных инструментов или глубоких хакерских навыков. Достаточно скачать приложение и подключить его к телефону, чтобы просматривать видео с камеры неограниченное время.

Злоумышленник может взломать дверной звонок, чтобы следить за действиями членов семьи, раскрывая незашифрованные IP-адреса и имена сетей Wi-Fi. Низкий уровень безопасности серверов компаний, предоставляющих услуги видеохостинга, может усугубить угрозу.

Приложение Aiwit от Eken для смартфонов позволяет подключить дверной звонок к точкам доступа Wi-Fi, что позволяет любому человеку получить доступ к видеотрансляции без пароля или учётной записи. Злоумышленник может определить серийный номер устройства и получить доступ к кадрам с видеотрансляции, даже если первоначальный владелец восстановит контроль над устройством.

Джастин Брукман, директор по технологической политике Consumer Reports, заявил, что платформы электронной коммерции, особенно такие крупные, как Amazon, должны нести ответственность за вред, причинённый их продукцией. Consumer Reports также уведомил об этих проблемах Eken, Tuck, Amazon, Walmart, Sears, Shein, Temu и Федеральную комиссию по связи США (FCC).

Получив уведомление от Consumer Reports, китайская платформа электронной коммерции Temu удалила со своего сайта все дверные звонки, использующие приложение Aiwit и произведённые компанией Eken. Кроме того, Walmart заявил, что товары, не соответствующие стандартам безопасности, надёжности и нормативным требованиям, будут удалены и заблокированы. Тем временем, другие платформы электронной коммерции, такие как Amazon, Sears и Shein, пока официально не отреагировали на эту проблему.

Как защитить камеру дверного звонка?

Если у вас есть такой дверной звонок, Consumer Reports рекомендует отключить его от домашней сети Wi-Fi и убрать от двери. Consumer Reports оценил умные дверные звонки от таких брендов, как Logitech, SimpliSafe и Ring, как гораздо более безопасные.

Хотя 100%-ную безопасность обеспечить крайне сложно, вот несколько шагов, которые вы можете предпринять, чтобы обеспечить защиту своего дверного звонка от хакеров и шпионажа третьих лиц:

Выбирайте надежный бренд

Избегайте использования дешевых или небрендовых умных дверных звонков, особенно от неизвестных производителей.

Выбирайте устройства известных брендов, которые всегда уделяли первостепенное внимание безопасности.

Проверьте функции безопасности

Убедитесь, что ваш дверной звонок использует надежное шифрование для передачи и хранения видео.

Обратите внимание на такие функции, как двухфакторная аутентификация (2FA) для входа в систему и оповещения об активности.

Защитите свою сеть Wi-Fi

Используйте надежный пароль для своей сети Wi-Fi и включите шифрование (WPA2 или WPA3).

Рассмотрите возможность создания отдельной гостевой сети для таких устройств, как дверные звонки, полностью отдельной от основной сети, в которой хранятся ваши конфиденциальные данные.

Управление разрешениями приложений

Предоставьте приложению дверного звонка только минимально необходимые разрешения, такие как доступ к камере и микрофону.

Избегайте приложений от неизвестных разработчиков и используйте официальные приложения от производителя.

Всегда обновляйте прошивку

Регулярно обновляйте прошивку дверного звонка, чтобы быть уверенным в наличии последних обновлений безопасности и исправлений ошибок.

Чтобы оставаться в безопасности, включите автоматические обновления, если они доступны.

Мониторинг активности

Следите за тем, кто имеет доступ к вашему дверному звонку, и проверяйте журналы активности.

Обращайте внимание на любые подозрительные попытки входа в систему или необычную активность.

Проверьте настройки конфиденциальности.

Настройте параметры конфиденциальности дверного звонка, чтобы контролировать, какие области записываются и как долго хранится отснятый материал.

Отключите ненужные функции, например, обнаружение движения в общественных местах.

Найдите идентификационный номер продукта, указанный на дверном звонке. Устройства без этого номера могут быть незаконными и не обеспечивать надлежащих мер безопасности.

Убедитесь, что ваш дверной звонок надежно защищен и его невозможно взломать.