Los expertos de Avast han descubierto que más de 600 000 rastreadores GPS utilizados para vigilar la ubicación de niños, personas mayores, mascotas, coches, etc., usaban la contraseña «123456».
Al utilizar la contraseña predeterminada para piratear las cuentas de los usuarios, los atacantes pueden escuchar las conversaciones cercanas al rastreador GPS, falsear la ubicación real del dispositivo y conocer también el número de la tarjeta SIM conectada al rastreador.
Todo empezó con la detección de problemas en los rastreadores T8 Mini de la empresa china de IoT Shenzhen i365-Tech. Sin embargo, los expertos descubrieron enseguida que la contraseña «123456» también se utilizaba en otros 30 modelos de rastreadores GPS fabricados por la misma empresa, algunos de los cuales se vendían como marca blanca y se presentaban en el mercado bajo las marcas de otras compañías.
Todos los rastreadores problemáticos comparten la misma infraestructura, que consiste en un servidor en la nube al que el rastreador «informa», un panel web (que los clientes utilizan a través de navegadores para comprobar la ubicación del dispositivo) y una aplicación móvil similar que también se conecta al mismo servidor en la nube.
Aunque los expertos de Avast identificaron de inmediato varios problemas en la infraestructura descrita, el más importante es que todas las cuentas de usuario (tanto en la aplicación móvil como en el panel web) utilizan un ID de usuario y una contraseña fáciles de adivinar. Así, el ID de usuario se basa en el IMEI del rastreador y es secuencial, y la contraseña, como se ha mencionado, es la misma por defecto para todos los dispositivos: «123456».
En la práctica, esto significa que los atacantes pueden lanzar un ataque automatizado contra el servidor en la nube de Shenzhen i365-Tech, recorriendo uno a uno todos los ID de usuario y utilizando la misma contraseña para piratear las cuentas.
Afortunadamente, los usuarios pueden cambiar la contraseña de los rastreadores GPS, pero los analistas de Avast escanearon más de 4 000 000 de identificadores y descubrieron que más de 600 000 cuentas seguían utilizando la contraseña predeterminada. Es probable que el número real de rastreadores GPS con contraseñas por defecto sea mucho mayor.
De plus, le problème est aggravé par le fait que de tels appareils sont équipés de microphones intégrés et de cartes SIM permettant aux enfants et aux personnes âgées de passer des appels SOS et de communiquer avec les membres de leur famille. Les chercheurs ont découvert que compromettre le suivi permettait en fait aux attaquants d’appeler leurs numéros, de répondre à ces appels, puis d’espionner le propriétaire et de les localiser.
Las vulnerabilidades encontradas también amenazan a la propia empresa fabricante. El hecho es que las cuentas vulnerables se crean en la nube inmediatamente después de fabricar los rastreadores GPS. En teoría, un competidor podría tomar el control de estas cuentas incluso antes de que se vendan los dispositivos y cambiar las contraseñas, bloqueando así las cuentas y causando problemas a Shenzhen i365-Tech y a los distribuidores.
Todos los problemas descritos por los expertos siguen sin resolverse, ya que los representantes de Shenzhen i365-Tech no han respondido a las numerosas solicitudes de los investigadores. Los analistas de Avast recomiendan encarecidamente a los usuarios de rastreadores vulnerables que cambien sus contraseñas de inmediato. Al final del informe de los expertos se incluye una lista completa de los dispositivos vulnerables.
