Gli esperti di Avast hanno scoperto che più di 600.000 localizzatori GPS utilizzati per monitorare la posizione di bambini, anziani, animali domestici, automobili, ecc., usavano la password «123456».
Utilizzando la password predefinita per violare gli account degli utenti, gli aggressori possono ascoltare le conversazioni accanto al localizzatore GPS, simulare la posizione reale del dispositivo e anche conoscere il numero della SIM collegata al localizzatore.
Tutto è iniziato con il rilevamento di problemi sui localizzatori T8 Mini dell’azienda cinese IoT Shenzhen i365-Tech. Tuttavia, gli esperti hanno presto scoperto che la password «123456» era utilizzata anche per altri 30 modelli di localizzatori GPS prodotti dalla stessa azienda, alcuni dei quali venduti con marchio bianco e presentati sul mercato con il marchio di altre aziende.
Tutti i localizzatori problematici hanno la stessa infrastruttura, che consiste in un server cloud al quale il localizzatore «riferisce» un pannello web (che i clienti utilizzano tramite browser per verificare la posizione del dispositivo), nonché un’applicazione mobile simile che si connette anch’essa allo stesso server cloud.
Sebbene gli esperti di Avast abbiano immediatamente individuato diversi problemi nell’infrastruttura descritta, il più grave è che tutti gli account utente (sia nell’applicazione mobile sia nel pannello web) utilizzano un ID utente e una password facili da individuare. Infatti, l’ID utente si basa sull’IMEI del localizzatore ed è sequenziale, mentre la password, come menzionato sopra, è predefinita e uguale per tutti i dispositivi: si tratta di «123456».
In pratica, ciò significa che gli aggressori possono lanciare un attacco automatizzato contro il server cloud di Shenzhen i365-Tech, provando uno per uno tutti gli ID utente e utilizzando la stessa password per violare gli account degli utenti.
Per fortuna, agli utenti non è vietato modificare la password dei localizzatori GPS, ma gli analisti di Avast hanno esaminato più di 4.000.000 di credenziali e hanno scoperto che più di 600.000 account utilizzavano ancora la password predefinita. Il numero reale di localizzatori GPS con password predefinite sarà probabilmente molto più alto.
Inoltre, il problema è aggravato dal fatto che tali dispositivi sono dotati di microfoni integrati e di schede SIM che consentono a bambini e anziani di effettuare chiamate SOS e comunicare con i familiari. I ricercatori hanno scoperto che compromettere il localizzatore permetteva agli aggressori di chiamare i suoi numeri, rispondere a tali chiamate, quindi spiare il proprietario e localizzarlo.
Le vulnerabilità riscontrate minacciano anche la stessa azienda produttrice. Infatti, account vulnerabili vengono creati nel cloud subito dopo la fabbricazione dei localizzatori GPS. In teoria, un concorrente potrebbe prendere il controllo di questi account prima ancora della vendita dei dispositivi e modificarne le password, bloccando così gli account e creando problemi a Shenzhen i365-Tech e ai rivenditori.
Tutti i problemi descritti dagli esperti sono ancora attuali, poiché i rappresentanti di Shenzhen i365-Tech non hanno risposto alle numerose richieste dei ricercatori. Gli analisti di Avast raccomandano vivamente agli utenti di localizzatori vulnerabili di cambiare immediatamente la password. Un elenco completo dei dispositivi vulnerabili è riportato alla fine del rapporto degli esperti.
