الكشف عن ذلك خبراء شركة Avast أن أكثر من 600 ألف جهاز تتبع GPS تُستخدم لمراقبة موقع الأطفال وكبار السن والحيوانات الأليفة والسيارات وغيرها، كانت تستخدم كلمة المرور «123456».
باستخدام كلمة المرور الافتراضية لاختراق حسابات المستخدمين، يمكن للمهاجمين الاستماع إلى المحادثات بالقرب من جهاز التتبع، وانتحال الموقع الفعلي للجهاز، والاطلاع أيضاً على رقم بطاقة SIM المتصلة بالجهاز.
بدأ كل شيء برصد مشكلات في أجهزة التتبع T8 Mini التابعة لشركة إنترنت الأشياء الصينية Shenzhen i365-Tech. غير أن الخبراء سرعان ما اكتشفوا أن كلمة المرور «123456» مستخدمة أيضاً في 30 طرازاً آخر من أجهزة تتبع GPS التي تنتجها الشركة نفسها، وبعضها كان يُباع بعلامة تجارية بيضاء ويُعرض في السوق تحت علامات تجارية لشركات أخرى.
تتشارك جميع أجهزة التتبع الإشكالية البنية التحتية نفسها، وتتمثل في خادم سحابي يُرسل إليه الجهاز بياناته، ويتصل به لوحة ويب (يستخدمها العملاء عبر المتصفحات للتحقق من موقع الجهاز)، إضافة إلى تطبيق جوال مشابه يتصل هو الآخر بالخادم السحابي نفسه.
على الرغم من أن خبراء Avast حددوا على الفور عدداً من المشكلات في البنية التحتية الموصوفة، فإن أهمها أن جميع حسابات المستخدمين (في التطبيق الجوال ولوحة الويب على حد سواء) تعتمد على معرّف مستخدم وكلمة مرور يسهل اكتشافهما. فمعرّف المستخدم مبني على رقم IMEI الخاص بجهاز التتبع وهو متسلسل، أما كلمة المرور، كما ذكر أعلاه، فهي افتراضياً نفسها لجميع الأجهزة، وهي «123456».
وفي الواقع، يعني ذلك أن المهاجمين يستطيعون شنّ هجوم آلي على الخادم السحابي لشركة Shenzhen i365-Tech، بتجربة جميع معرّفات المستخدمين واحداً تلو الآخر، واستخدام كلمة المرور نفسها لاختراق حسابات المستخدمين.
لحسن الحظ، لا يُمنع المستخدمون من تغيير كلمة مرور أجهزة تتبع GPS، إلا أن محللي Avast فحصوا أكثر من 4,000,000 بيانات دخول، واكتشفوا أن أكثر من 600,000 حساب ما زال يستخدم كلمة المرور الافتراضية. ومن المرجّح أن يكون العدد الفعلي لأجهزة التتبع التي تحمل كلمات مرور افتراضية أعلى بكثير.
وتزداد المشكلة خطورة لأن هذه الأجهزة مزودة بميكروفونات مدمجة وبطاقات SIM تتيح للأطفال وكبار السن إجراء مكالمات الطوارئ والتواصل مع أفراد أسرهم. وقد اكتشف الباحثون أن اختراق جهاز التتبع يتيح للمهاجمين الاتصال بأرقامه، والرد على تلك المكالمات، ثم التجسس على المالك وتحديد موقعه.
وتهدد الثغرات المكتشفة شركة التصنيع نفسها أيضاً. فالحقيقة أن حسابات ضعيفة تُنشأ في السحابة فور تصنيع أجهزة تتبع GPS. ونظرياً، يمكن لمنافس أن يسيطر على هذه الحسابات قبل بيع الأجهزة، ويغيّر كلمات المرور، فيُغلق الحسابات ويسبب مشكلات لشركة Shenzhen i365-Tech وللموزعين.
لا تزال جميع المشكلات التي وصفها الخبراء قائمة، إذ لم يردّ ممثلو شركة Shenzhen i365-Tech على الطلبات العديدة التي قدمها الباحثون. وينصح محللو Avast بشدة مستخدمي أجهزة التتبع الضعيفة بتغيير كلمات المرور فوراً. ويُرفق بنهاية التقرير الخبير قائمة كاملة بالأجهزة المعرّضة للخطر.
