ציוותי המומחים של Avast גילו כי יותר מ-600,000 מכשירי מעקב GPS, המשמשים לניטור מיקומם של ילדים, קשישים, חיות מחמד, מכוניות ועוד, השתמשו בסיסמה «123456».
באמצעות הסיסמה ברירת המחדל לפריצה לחשבונות משתמשים, התוקפים יכולים להאזין לשיחות בסביבת מכשיר ה-GPS, לזייף את המיקום האמיתי של המכשיר וכן לגלות את מספר כרטיס ה-SIM המחובר למעקב.
הכול החל בזיהוי בעיות במעקבי T8 Mini של חברת ה-IoT הסינית Shenzhen i365-Tech. עם זאת, המומחים גילו במהרה שהסיסמה «123456» משמשת גם ב-30 דגמים נוספים של מכשירי מעקב GPS שמייצרת אותה חברה, חלקם נמכרו במותג לבן והוצעו לשוק תחת שמות של חברות אחרות.
לכל מכשירי המעקב הבעייתיים יש את אותה תשתית, הכוללת שרת ענן שאליו המכשיר «מדווח», פאנל אינטרנטי (שהלקוחות משתמשים בו דרך דפדפנים כדי לבדוק את מיקום המכשיר), וכן אפליקציה ניידת דומה המתחברת לאותו שרת ענן.
אף שמומחי Avast זיהו מיד מספר בעיות בתשתית שתוארה, החמורה שבהן היא שכל חשבונות המשתמשים (הן באפליקציה הניידת והן בפאנל האינטרנטי) משתמשים במזהה משתמש ובסיסמה שקל לזהות. מזהה המשתמש מבוסס על ה-IMEI של המכשיר ומהווה רצף מספרים, והסיסמה, כאמור לעיל, היא ברירת המחדל «123456» עבור כל המכשירים.
למעשה, הדבר אומר שהתוקפים יכולים לבצע מתקפה אוטומטית על שרת הענן של Shenzhen i365-Tech, לעבור על כל מזהי המשתמשים אחד אחד ולהשתמש באותה סיסמה כדי לפרוץ לחשבונות המשתמשים.
למרבה המזל, המשתמשים אינם מנועים משינוי הסיסמה של מעקבי ה-GPS, אך אנליסטים של Avast סרקו יותר מ-4,000,000 פרטי התחברות וגילו שיותר מ-600,000 חשבונות עדיין משתמשים בסיסמת ברירת המחדל. מספר מכשירי ה-GPS עם סיסמאות ברירת מחדל גבוה כנראה בהרבה.
יתרה מזאת, הבעיה מחריפה משום שמכשירים כאלה כוללים מיקרופונים מובנים וכרטיסי SIM המאפשרים לילדים ולקשישים לבצע שיחות SOS ולתקשר עם בני משפחתם. החוקרים גילו שפריצה למעקב מאפשרת לתוקפים להתקשר למספרים שלו, לענות לשיחות האלה, ואז להאזין לבעלים ולאתר את מיקומו.
הפגיעויות שנמצאו מאיימות גם על חברת הייצור עצמה. העניין הוא שחשבונות פגיעים נוצרים בענן מיד לאחר ייצור מכשירי ה-GPS. תיאורטית, מתחרה יכול לשלוט בחשבונות האלה עוד לפני מכירת המכשירים ולשנות את הסיסמאות, ובכך לחסום את החשבונות וליצור בעיות עבור Shenzhen i365-Tech והמשווקים.
כל הבעיות שתוארו על ידי המומחים עדיין רלוונטיות, שכן נציגי Shenzhen i365-Tech לא הגיבו לפניות הרבות של החוקרים. אנליסטי Avast ממליצים בחום למשתמשים של מכשירים פגיעים לשנות מיד את הסיסמאות שלהם. רשימה מלאה של המכשירים הפגיעים מופיעה בסוף הדוח המקצועי.
