Хотя ИБ-эксперты не перестают предупреждать об опасности детских IoT-гаджетов и смарт-игрушек, производители продолжают снабжать рынок уязвимыми продуктами, представляющими не только виртуальную, но и физическую угрозу. К примеру, уязвимые смарт-часы с функцией GPS-трекера позволяют злоумышленникам отследить местоположение ребенка и потенциально причинить ему вред.

Осенью 2017 года специалисты Совета по защите прав потребителей Норвегии протестировали некоторые модели «умных» часов от различных производителей, включая Gator от TechSixtyFour. В ходе исследования в гаджетах были обнаружены уязвимости, позволяющие злоумышленникам отслеживать, подслушивать и даже общаться с пользователями устройств.

Спустя один год исследователи компании Pen Test Partners решили еще раз взглянуть на Gator и проверить, как была улучшена их безопасность. «Угадайте, что мы нашли? Это была полная катастрофа. Кто угодно мог получить доступ ко всей базе данных, в том числе к местоположению детей в режиме реального времени, именам, данным родителей и т.д. Это касается не только часов Gator, но и десятков тысяч часов от других брендов», — сообщил специалист Pen Test Partners Вангелис Стыкас (Vangelis Stykas).

Уязвимость позволяет злоумышленникам повысить свои привилегии и чрезвычайно проста в эксплуатации. В часах отсутствует механизм проверки наличия у пользователя разрешения на доступ к панели администрирования. Для получения доступа к данным атакующему достаточно лишь знать учетные данные пользователя часов.

Компания TechSixtyFour исправила уязвимость, однако проблема по-прежнему может затрагивать гаджеты от других производителей.

Источник: securitylab.ru