Avastの専門家は、子ども、高齢者、ペット、自動車などの位置情報を監視するために使われている60万台以上のGPSトラッカーが、パスワードに「123456」を使用していることを発見しました。
初期設定のパスワードを悪用してユーザーアカウントに不正アクセスすることで、攻撃者はGPSトラッカーの周囲の会話を盗聴したり、デバイスの実際の位置を偽装したり、トラッカーに接続されているSIMカードの番号を知ったりすることができます。
すべては、中国のIoT企業Shenzhen i365-Tech社のT8 Miniトラッカーで問題が検出されたことから始まりました。しかし専門家はすぐに、同社が製造する他の30種類のGPSトラッカーでもパスワード「123456」が使われていることを突き止めました。その中にはOEM(ホワイトラベル)として販売され、他社ブランドで市場に出回っているものもありました。
問題のあるすべてのトラッカーは同じインフラを共有しています。それは、トラッカーが情報を「報告」するクラウドサーバー、(利用者がブラウザからデバイスの位置を確認するための)Webパネル、そして同じクラウドサーバーに接続する同様のモバイルアプリで構成されています。
Avastの専門家は、このインフラに複数の問題があることをすぐに特定しましたが、中でも最も重大なのは、(モバイルアプリでもWebパネルでも)すべてのユーザーアカウントが、推測しやすいユーザーIDとパスワードを使用していることです。ユーザーIDはトラッカーのIMEIに基づく連番で、パスワードは前述のとおり、すべてのデバイスで初期設定が共通の「123456」です。
つまり、攻撃者はShenzhen i365-Techのクラウドサーバーに対して自動化された攻撃を仕掛け、すべてのユーザーIDを順番に試し、同じパスワードを使ってユーザーアカウントに不正侵入できるということです。
幸いなことに、ユーザーがGPSトラッカーのパスワードを変更することは禁止されていません。しかしAvastのアナリストは400万件以上のIDをスキャンし、60万件以上のアカウントが依然として初期設定のパスワードを使用していることを突き止めました。初期設定のパスワードのままのGPSトラッカーの実際の数は、おそらくはるかに多いと考えられます。
さらに、こうしたデバイスにはマイクとSIMカードが内蔵されており、子どもや高齢者がSOS通話をしたり家族と連絡を取ったりできるため、問題は一層深刻です。研究者らは、トラッカーが乗っ取られると、攻撃者が実際にその番号に発信したり、かかってきた通話に応答したりして、所有者を盗聴し、居場所を突き止めることが可能になることを発見しました。
発見された脆弱性は、製造元の企業自体にとっても脅威となります。脆弱なアカウントは、GPSトラッカーの製造直後にクラウド上で作成されるためです。理論上、競合他社が機器の販売前にこれらのアカウントを掌握してパスワードを変更し、アカウントをロックすることで、Shenzhen i365-Techや販売業者に問題を引き起こすことも可能です。
専門家が説明したすべての問題は現在も解決されていません。Shenzhen i365-Techの担当者が、研究者からの度重なる問い合わせに応じていないためです。Avastのアナリストは、脆弱なトラッカーの利用者に対し、直ちにパスワードを変更するよう強く推奨しています。脆弱なデバイスの完全な一覧は、専門家によるレポートの末尾に掲載されています。
