Les experts d’Avast ont खोज निकाला कि बच्चों, बुज़ुर्गों, पालतू जानवरों, कारों आदि की स्थिति पर नज़र रखने के लिए इस्तेमाल होने वाले 6,00,000 से अधिक GPS ट्रैकर «123456» पासवर्ड का उपयोग कर रहे थे।
डिफ़ॉल्ट पासवर्ड का उपयोग करके उपयोगकर्ता खातों को हैक करके, हमलावर GPS ट्रैकर के पास होने वाली बातचीत सुन सकते हैं, डिवाइस की वास्तविक स्थिति की नकल कर सकते हैं, और ट्रैकर से जुड़े सिम कार्ड का नंबर भी जान सकते हैं।
यह सब चीनी IoT कंपनी Shenzhen i365-Tech के T8 Mini ट्रैकर में समस्याओं का पता चलने से शुरू हुआ। हालाँकि, विशेषज्ञों ने जल्द ही पाया कि «123456» पासवर्ड उसी कंपनी द्वारा बनाए गए 30 अन्य GPS ट्रैकर मॉडलों में भी इस्तेमाल होता था, जिनमें से कुछ व्हाइट-लेबल के रूप में बेचे गए और बाज़ार में दूसरी कंपनियों के ब्रांड नामों से पेश किए गए थे।
सभी समस्याग्रस्त ट्रैकरों का बुनियादी ढाँचा एक जैसा है: एक क्लाउड सर्वर, जिस पर ट्रैकर «रिपोर्ट» भेजता है, एक वेब पैनल (जिसे ग्राहक ब्राउज़र के ज़रिए डिवाइस की स्थिति जाँचने के लिए इस्तेमाल करते हैं), और एक समान मोबाइल ऐप जो उसी क्लाउड सर्वर से जुड़ता है।
हालाँकि Avast के विशेषज्ञों ने वर्णित बुनियादी ढाँचे में कई समस्याओं की तुरंत पहचान कर ली, इनमें सबसे गंभीर यह है कि सभी उपयोगकर्ता खाते (मोबाइल ऐप और वेब पैनल दोनों पर) आसानी से पहचाने जा सकने वाले उपयोगकर्ता ID और पासवर्ड का उपयोग करते हैं। उपयोगकर्ता ID ट्रैकर के IMEI पर आधारित है और क्रमिक होती है, और पासवर्ड, जैसा ऊपर बताया गया है, सभी डिवाइसों के लिए डिफ़ॉल्ट रूप से एक ही है – यानी «123456»।
इसका वास्तविक अर्थ यह है कि हमलावर Shenzhen i365-Tech के क्लाउड सर्वर पर एक स्वचालित हमला कर सकते हैं, सभी उपयोगकर्ता ID को एक-एक करके आज़माकर और एक ही पासवर्ड का उपयोग करके उपयोगकर्ता खातों को हैक कर सकते हैं।
सौभाग्य से, उपयोगकर्ता GPS ट्रैकर का पासवर्ड बदल सकते हैं, लेकिन Avast के विश्लेषकों ने 40,00,000 से अधिक क्रेडेंशियल स्कैन किए और पाया कि 6,00,000 से अधिक खाते अब भी डिफ़ॉल्ट पासवर्ड का उपयोग कर रहे थे। डिफ़ॉल्ट पासवर्ड वाले GPS ट्रैकरों की वास्तविक संख्या संभवतः इससे कहीं अधिक होगी।
इसके अलावा, समस्या इस बात से और गंभीर हो जाती है कि ऐसे उपकरणों में बिल्ट-इन माइक्रोफ़ोन और सिम कार्ड होते हैं, जिनसे बच्चे और बुज़ुर्ग SOS कॉल कर सकते हैं और परिवार के सदस्यों से बात कर सकते हैं। शोधकर्ताओं ने पाया कि ट्रैकर से समझौता होने पर हमलावर उसके नंबर पर कॉल कर सकते हैं, उन कॉलों का जवाब दे सकते हैं, फिर मालिक की जासूसी कर सकते हैं और उसकी स्थिति का पता लगा सकते हैं।
पाई गई कमज़ोरियाँ खुद निर्माता कंपनी के लिए भी खतरा हैं। दरअसल, GPS ट्रैकर बनने के तुरंत बाद क्लाउड में कमज़ोर खाते बन जाते हैं। सैद्धांतिक रूप से, कोई प्रतिस्पर्धी डिवाइस बिकने से पहले ही इन खातों पर नियंत्रण कर सकता है और पासवर्ड बदल सकता है, जिससे खाते बंद हो जाएँगे और Shenzhen i365-Tech तथा पुनर्विक्रेताओं के लिए समस्याएँ खड़ी होंगी।
विशेषज्ञों द्वारा बताई गई सभी समस्याएँ अब भी बनी हुई हैं, क्योंकि Shenzhen i365-Tech के प्रतिनिधियों ने शोधकर्ताओं के कई अनुरोधों का जवाब नहीं दिया। Avast के विश्लेषक कमज़ोर ट्रैकरों के उपयोगकर्ताओं से तुरंत अपना पासवर्ड बदलने की दृढ़ता से सलाह देते हैं। कमज़ोर उपकरणों की पूरी सूची विशेषज्ञ रिपोर्ट के अंत में दी गई है।
