Odborníci společnosti Avast zjistili , že více než 600 000 GPS lokátorů, které slouží ke sledování polohy dětí, seniorů, domácích mazlíčků, automobilů a dalších, používalo heslo „123456“.
Pokud útočníci použijí výchozí heslo k průniku do uživatelských účtů, mohou odposlouchávat konverzace v blízkosti GPS lokátoru, falšovat skutečnou polohu zařízení a zjistit také číslo SIM karty vložené do lokátoru.
Vše začalo odhalením problémů u lokátorů T8 Mini od čínské IoT společnosti Shenzhen i365-Tech. Odborníci však brzy zjistili, že heslo „123456“ se používá také u dalších 30 modelů GPS lokátorů téže firmy, z nichž některé se prodávaly jako zboží v bílé značce a na trhu se objevovaly pod značkami jiných společností.
Všechny problematické lokátory mají stejnou infrastrukturu: cloudový server, kterému lokátor „hlásí“ data, webový panel (který zákazníci používají v prohlížeči ke kontrole polohy zařízení) a podobnou mobilní aplikaci, která se rovněž připojuje ke stejnému cloudovému serveru.
Odborníci Avastu sice ihned identifikovali řadu problémů ve zmíněné infrastruktuře, nejzávažnější je však skutečnost, že všechny uživatelské účty (v mobilní aplikaci i na webovém panelu) používají snadno odhalitelné uživatelské ID a heslo. ID uživatele vychází z čísla IMEI lokátoru a jde o sekvenční řadu, zatímco heslo je, jak již bylo zmíněno, u všech zařízení ve výchozím nastavení stejné – „123456“.
Útočníci tak ve skutečnosti mohou spustit automatizovaný útok na cloudový server Shenzhen i365-Tech, projít postupně všechna ID uživatelů a s týmž heslem se dostat do uživatelských účtů.
Naštěstí uživatelům nic nebrání heslo GPS lokátorů změnit, analytici Avastu však prověřili více než 4 000 000 identifikátorů a zjistili, že více než 600 000 účtů stále používá výchozí heslo. Skutečný počet GPS lokátorů s výchozími hesly bude pravděpodobně mnohem vyšší.
Problém navíc zhoršuje to, že tato zařízení jsou vybavena vestavěnými mikrofony a SIM kartami, které dětem a seniorům umožňují volat na tísňové linky a komunikovat s rodinnými příslušníky. Výzkumníci zjistili, že kompromitace lokátoru útočníkům ve skutečnosti umožňovala volat na jejich čísla, přijímat tyto hovory, a tak majitele odposlouchávat a zjišťovat jeho polohu.
Nalezené zranitelnosti ohrožují i samotného výrobce. Zranitelné účty se totiž v cloudu vytvářejí hned po vyrobení GPS lokátorů. Teoreticky by tedy konkurent mohl tyto účty ovládnout ještě před prodejem zařízení a změnit hesla, čímž by účty zablokoval a způsobil problémy společnosti Shenzhen i365-Tech i prodejcům.
Všechny problémy popsané odborníky stále trvají, protože zástupci společnosti Shenzhen i365-Tech na četné žádosti výzkumníků nereagovali. Analytici Avastu uživatelům zranitelných lokátorů důrazně doporučují, aby si okamžitě změnili hesla. Úplný seznam zranitelných zařízení najdete na konci odborné zprávy.
