Детские умные часы и IoT-игрушки небезопасны для маленьких пользователей

Специалисты Rapid7 снова доказали, что большое количество «умных» устройств в реальности сложно назвать умными. Исследователи выявили ряд весьма опасных уязвимостей в игрушках Fisher-Price и специализированных детских устройствах стартапа hereO.

В конце прошлого года многие специалисты раскритиковали игрушку Hello Barbie (интерактивная кукла), которую можно использовать для шпионажа. Позднее аналогичные решения представила компания Fisher-Price, выпустив целое семейство интерактивных мягких игрушек. Умные обезьяны и медведи способны общаться с ребенком при помощи встроенной акустической системы и самообучаться. Для ускорения процесса есть возможность подключить игрушку к сети. Родители при этом имеют возможность контролировать процесс игры через утилиту для сотового телефона. По этому, во избежание неприятностей и опасностей для ребенка, пока лучше полагаться на проверенные временем "обычные" игрушки, такие как LEGO, куклы без связи с интернет, ковры-сказки от Kover Skazka, ассортимент можно посмотреть по адресу http://kover-skazka.ru/category/detskie-kovry/ и т.д.
Специалисты выяснили, что при взаимодействии с сервером используется очень ненадежный API. Полученные данные не проверяются системой должным образом, что позволяет хакеру сформировать пакет, который, по идее, должен быть отклонен, но сервер все равно его обрабатывает. Это позволяет злоумышленнику получить доступ к личным данным, включая профиль ребенка и список игрушек, привязанных к учетной записи. Можно узнать дату рождения, имя ребенка, а также текущий статус подключенных игрушек (играют ли с ними в данный момент). Также есть возможность отключать устройство от взломанного профиля. Проблемы были обнаружены еще осенью 2015 года, однако официальное обновление от разработчиков стало доступно только в начале 2016 года.
Платформа от разработчиков hereO более молода: первые устройства поступили на рынок только в январе. В 2014 году при помощи площадки Ingiegogo стартап hereO смог собрать сумму, необходимую для запуска производства детских устройств.
Компания выпускает семейство умных часов для детей. Устройства, имеющие функцию GPS-маяка, комплектуются мобильным приложением, которое позволяет родителям отслеживать перемещение ребенка.
Специалисты выяснили, что данная платформа также имеет серьезные недостатки. Уязвимость позволяет злоумышленнику добавлять себя в систему в качестве члена семьи, что дает полный доступ ко всем функциям (геолокация, переписка и другим).