Avastin asiantuntijat havaitsivat , että yli 600 000 GPS-seurantalaitetta, joita käytetään lasten, ikääntyneiden, lemmikkien, autojen ja muun sijainnin valvontaan, käytti salasanaa “123456”.
Käyttämällä oletussalasanaa käyttäjätilien murtamiseen hyökkääjät voivat kuunnella GPS-seurantalaitteen lähellä käytyjä keskusteluja, väärentää laitteen todellisen sijainnin ja saada selville myös seurantalaitteeseen liitetyn SIM-kortin numeron.
Kaikki alkoi ongelmien havaitsemisesta kiinalaisen IoT-yhtiön Shenzhen i365-Techin T8 Mini -seurantalaitteissa. Asiantuntijat huomasivat kuitenkin pian, että salasanaa “123456” käytettiin myös 30 muussa saman yrityksen valmistamassa GPS-seurantalaitemallissa, joista osa myytiin white label -tuotteina ja esiteltiin markkinoilla muiden yritysten tuotemerkeillä.
Kaikilla ongelmallisilla seurantalaitteilla on sama infrastruktuuri: pilvipalvelin, jolle seurantalaite raportoi, verkkopaneeli (jota asiakkaat käyttävät selaimilla laitteen sijainnin tarkistamiseen) sekä vastaava mobiilisovellus, joka yhdistyy samoin samaan pilvipalvelimeen.
Vaikka Avastin asiantuntijat tunnistivat kuvatusta infrastruktuurista heti useita ongelmia, merkittävin niistä on se, että kaikki käyttäjätilit (sekä mobiilisovelluksessa että verkkopaneelissa) käyttävät helposti arvattavaa käyttäjätunnusta ja salasanaa. Käyttäjätunnus perustuu seurantalaitteen IMEI-koodiin ja on juokseva, ja salasana on edellä mainitulla tavalla oletuksena sama kaikille laitteille: “123456”.
Käytännössä tämä tarkoittaa, että hyökkääjät voivat käynnistää automatisoidun hyökkäyksen Shenzhen i365-Techin pilvipalvelinta vastaan käymällä läpi kaikki käyttäjätunnukset yksi kerrallaan ja käyttämällä samaa salasanaa käyttäjätilien murtamiseen.
Onneksi käyttäjiä ei ole estetty vaihtamasta GPS-seurantalaitteiden salasanaa, mutta Avastin analyytikot skannasivat yli 4 000 000 tunnusta ja havaitsivat, että yli 600 000 tiliä käytti edelleen oletussalasanaa. Oletussalasanaa käyttävien GPS-seurantalaitteiden todellinen määrä on todennäköisesti paljon suurempi.
Lisäksi ongelmaa pahentaa se, että tällaisissa laitteissa on sisäänrakennetut mikrofonit ja SIM-kortit, joiden avulla lapset ja ikääntyneet voivat soittaa SOS-puheluita ja ottaa yhteyttä perheenjäseniinsä. Tutkijat havaitsivat, että seurantalaitteen vaarantaminen mahdollisti hyökkääjille soittamisen näihin numeroihin, puheluihin vastaamisen sekä omistajan urkkimisen ja paikantamisen.
Löydetyt haavoittuvuudet uhkaavat myös itse valmistajayritystä. Haavoittuvat tilit luodaan pilveen heti GPS-seurantalaitteiden valmistuksen jälkeen. Teoriassa kilpailija voisi ottaa nämä tilit haltuunsa jo ennen laitteiden myyntiä ja vaihtaa salasanat, jolloin tilit lukittuisivat ja Shenzhen i365-Techille sekä jälleenmyyjille aiheutuisi ongelmia.
Kaikki asiantuntijoiden kuvaamat ongelmat ovat edelleen ajankohtaisia, sillä Shenzhen i365-Techin edustajat eivät ole vastanneet tutkijoiden lukuisiin yhteydenottopyyntöihin. Avastin analyytikot kehottavat voimakkaasti haavoittuvien seurantalaitteiden käyttäjiä vaihtamaan salasanansa välittömästi. Täydellinen luettelo haavoittuvista laitteista on asiantuntijaraportin lopussa.
