Para pakar Avast menemukan bahwa lebih dari 600.000 pelacak GPS yang digunakan untuk memantau lokasi anak-anak, lansia, hewan peliharaan, mobil, dan lainnya menggunakan kata sandi «123456».
Dengan memanfaatkan kata sandi bawaan untuk membobol akun pengguna, penyerang dapat menyadap percakapan di sekitar pelacak GPS, memalsukan lokasi asli perangkat, serta mengetahui nomor kartu SIM yang terpasang pada pelacak tersebut.
Semuanya bermula dari ditemukannya masalah pada pelacak T8 Mini milik perusahaan IoT asal Tiongkok, Shenzhen i365-Tech. Namun, para pakar segera menyadari bahwa kata sandi «123456» juga digunakan pada 30 model pelacak GPS lain yang diproduksi oleh perusahaan yang sama, sebagian di antaranya dijual dengan sistem white label dan dipasarkan dengan merek perusahaan lain.
Semua pelacak bermasalah tersebut memiliki infrastruktur yang sama, yaitu server cloud tempat pelacak “melapor”, panel web (yang digunakan pelanggan melalui peramban untuk memeriksa lokasi perangkat), serta aplikasi seluler serupa yang juga terhubung ke server cloud yang sama.
Meskipun pakar Avast langsung mengidentifikasi sejumlah masalah pada infrastruktur tersebut, yang terpenting adalah kenyataan bahwa semua akun pengguna (baik di aplikasi seluler maupun di panel web) menggunakan ID pengguna dan kata sandi yang mudah ditebak. ID pengguna didasarkan pada IMEI pelacak dan bersifat berurutan, sedangkan kata sandinya, seperti disebutkan di atas, secara bawaan sama untuk semua perangkat, yaitu «123456».
Pada dasarnya, ini berarti penyerang dapat melancarkan serangan otomatis ke server cloud Shenzhen i365-Tech dengan mencoba semua ID pengguna satu per satu menggunakan kata sandi yang sama untuk membobol akun pengguna.
Untungnya, pengguna tidak dilarang mengubah kata sandi pelacak GPS mereka, tetapi analis Avast memindai lebih dari 4.000.000 ID dan menemukan bahwa lebih dari 600.000 akun masih memakai kata sandi bawaan. Jumlah sebenarnya pelacak GPS dengan kata sandi bawaan kemungkinan jauh lebih tinggi.
Selain itu, masalah ini diperparah oleh kenyataan bahwa perangkat semacam itu dilengkapi mikrofon bawaan dan kartu SIM yang memungkinkan anak-anak dan lansia melakukan panggilan SOS serta berkomunikasi dengan anggota keluarga. Para peneliti menemukan bahwa dengan membobol pelacak, penyerang sebenarnya dapat menghubungi nomor-nomor tersebut, menjawab panggilan dari mereka, lalu memata-matai pemiliknya dan melacak lokasinya.
Kerentanan yang ditemukan juga mengancam perusahaan pembuatnya sendiri. Pasalnya, akun-akun yang rentan dibuat di cloud segera setelah pelacak GPS diproduksi. Secara teori, pesaing dapat mengambil alih akun-akun tersebut bahkan sebelum perangkat dijual dan mengubah kata sandinya, sehingga akun terkunci dan menimbulkan masalah bagi Shenzhen i365-Tech serta para penjualnya.
Semua masalah yang dijelaskan para pakar tersebut masih berlangsung, karena perwakilan Shenzhen i365-Tech tidak menanggapi berbagai permintaan dari para peneliti. Analis Avast sangat menyarankan pengguna pelacak yang rentan untuk segera mengganti kata sandi mereka. Daftar lengkap perangkat yang rentan tersedia di bagian akhir laporan para pakar.
