Mais conectado, menos seguro: vulnerabilidades da Internet das coisas

Há um ano, nosso colega David Jacoby, um pesquisador do GReAT (Global Research & Analysis Team), conseguiu hackear sua própria casa e descobriu muitas coisas curiosas. O experimento de David inspirou muitos dos funcionários da Kaspersky Lab pelo mundo. Inclusive, vários decidiram fazer o mesmo experimento em suas próprias casas.

Sobrevivendo às ameaças da Internet
Para achar bugs, escolhemos diversos dispositivos populares da Internet das Coisas (IoT), como o Google Chrome cast – um dongle USB para streaming de vídeo, uma câmera IP, uma máquina de café inteligente e um sistema de segurança doméstica – todos podem ser controlados por um aplicativo de smartphone. Os modelos e dispositivos foram escolhidos aleatoriamente, sem considerar os distribuidores.

Nosso experimento provou que TODOS os objetos eram hackeáveis ou poderiam ser facilmente comprometidos e usados como vínculo por hackers. Reportamos as vulnerabilidades para os fabricantes. Até agora, alguns produtos já devem ter sido corrigidos. Outros permaneceram vulneráveis.

Seus dispositivos inteligentes podem ser facilmente hackeados? #IoT | https://t.co/1KzddLopIQ pic.twitter.com/M3zy5AmCCG

— Kaspersky Brasil (@Kasperskybrasil) November 13, 2015

Chromecast
Os criadores do Google Chromecast deixaram um bug, que permite a um hacker transmitir seus próprios “programas” de TV – qualquer coisa, de propagandas até filmes assustadores ou fotos bizarras.

Depois que o hacker desvendasse como entrar no seu dispositivo, ele poderia continuar a manipular a experiência do usuário. Isso duraria quanto tempo ele quisesse, ou até que o usuário comprasse outro dongle, ou voltasse para a TV à cabo.

Se o hacker estiver armado com uma antena direcional, ele poderia interromper seu programa favorito em um momento inoportuno, sem ter de estar perto – o que o torna praticamente irrastreável. Essa vulnerabilidade no Chromecast existe há tempos e ainda permanece não corrigida.

Câmera IP
A câmera IP testada era na verdade uma babá eletrônica controlada pelo smartphone. Inclusive, esses dispositivos já foram hackeados em 2013 e ainda continuam sendo alvo de ataques. O modelo escolhido foi produzido em 2015 e, ainda assim, descobrimos alguns bugs.
Alterando um aplicativo padrão de babá eletrônica, hackers descobriram o endereço de e-mail dos clientes da companhia. Como a maioria dos donos de câmeras são pais, essa database seria bem atraente para phishers lançarem campanhas direcionadas.

Outras falhas permitiram nossos pesquisadores controlarem completamente a câmera: o que permitiria a alguém ver e ouvir o que está acontecendo no quarto, executar arquivos de áudio no dispositivo ou modificar o software da câmera, o que significa se tornar o único capaz de comandá-lo. Reportamos as vulnerabilidades para o fabricante e ajudamos nos pacotes de correção.

Aceita um café?
Bem, os significados das alterações nas nossas vidas por meio das invasões no Chromecast dongle e nas babás eletrônicas são relativamente diretos. Mas o que há de errado com a máquina de café? Acontece que esse eletrodoméstico pode ser uma ótima forma de ser espionado, deixando que a senha do Wi-Fi da sua casa disponível para pessoas mal intencionadas.

Surpreendentemente, o problema se mostrou bem difícil de resolver, então o fabricante ainda não conseguiu consertar o bug. A situação não é grave: a janela de oportunidade para um hacker só permanece aberta por meros minutos. No entanto, o problema permanece mesmo que você mudasse a senha do Wi-Fi – a cafeteira vai fornecer a senha repetidamente.

Segurança doméstica
O sistema de segurança também perdeu a briga. Curiosamente nossa experiência não ajudou aqui – na verdade, foram conhecimentos de física básica que fizeram acontecer. O sistema emprega sensores especiais para monitorar o campo magnético, que é gerado pelo imã na fechadura. Uma vez que um bandido abre a janela ou a porta o campo magnético sofre alterações e o sensor dispara um alerta.

Alguém pode usar imãs simples para preservar o campo magnético mesmo com portas e janelas abertas, e a partir daí invadir a casa. Esse é um problema bem conhecido, pois sensores similares são usados em sistemas de segurança populares. Além disso, um pacote de atualização não ajudaria nisso – a própria abordagem deveria mudar fundamentalmente.

Falando de softwares, esse sistema foi absolutamente capaz de resistir ciberataques de ladrões que se deram mal em física no colégio.

Para minimizar o risco e deixar sua casa mais segura, siga as seguintes recomendações:

• Ao escolher qual aspecto da sua vida você quer deixar mais digital, pense na segurança em primeiro lugar. Você tem muitos itens de valor na sua casa? Então escolha o sistema de segurança mais robusto, associado com um sistema anti-invasão controlado por smartphone com o alarme tradicional. Se você vai usar um dispositivo que poderia fornecer acesso à vida privada de sua família (como babás eletrônicas) escolha um modelo simples que transmita som por ondas de rádio não por meio da rede de IP.

• Se a abordagem acima não funcionar para você, escolha um dispositivo corretamente. Antes de ir a loja, pesquise online sobre o dispositivo que você está interessado, prestando atenção nas noticiais relevante sobre bugs e pacotes de atualização.

• Não compre modelos mais recentes. Usualmente, novos dispositivos são vendidos com bugs que ainda não foram descobertos por pesquisadores. Tente escolher dispositivos que tenham reputação comprovada.