Avast 的专家发现,超过 60 万个用于监控儿童、老人、宠物、车辆等位置的 GPS 追踪器,都在使用密码“123456”。
攻击者利用默认密码入侵用户账户后,可以监听 GPS 追踪器周围的对话,伪造设备的真实位置,还能获知追踪器所连接 SIM 卡的号码。
这一切始于专家在中国物联网企业深圳 i365-Tech 的 T8 Mini 追踪器上发现问题。不过,专家很快发现,该公司生产的另外 30 款 GPS 追踪器同样使用“123456”作为密码,其中一些产品以白牌形式销售,并以其他公司的品牌在市场上出售。
所有存在问题的追踪器都采用相同的架构:追踪器向一台云服务器“汇报”数据,用户通过浏览器访问网页面板来查看设备位置,同时还有一款类似的移动应用,也连接到同一台云服务器。
尽管 Avast 的专家立即发现了该架构中的若干问题,但其中最严重的一点是:所有用户账户(无论是移动应用还是网页面板)使用的用户 ID 和密码都很容易被猜到。用户 ID 基于追踪器的 IMEI 且按顺序排列,而密码如上所述,所有设备默认都相同——即“123456”。
实际上,这意味着攻击者可以对深圳 i365-Tech 的云服务器发起自动化攻击,逐个遍历所有用户 ID,并使用同一个密码来入侵用户账户。
幸运的是,用户并未被禁止修改 GPS 追踪器的密码,但 Avast 的分析人员扫描了超过 400 万个标识符,发现仍有超过 60 万个账户在使用默认密码。使用默认密码的 GPS 追踪器的实际数量很可能要高得多。
此外,这类设备配备了内置麦克风和 SIM 卡,方便儿童和老人拨打 SOS 求助电话并与家人联系,这使问题更加严重。研究人员发现,一旦追踪器被攻破,攻击者实际上可以拨打其中的号码、接听来电,进而窃听机主并对其定位。
这些漏洞同样威胁着制造商自身。问题在于,易受攻击的账户会在 GPS 追踪器出厂后立即在云端创建。理论上,竞争对手甚至可以在设备售出之前就控制这些账户并修改密码,从而锁定账户,给深圳 i365-Tech 及其经销商制造麻烦。
专家所描述的所有问题至今依然存在,因为深圳 i365-Tech 的代表没有回应研究人员的多次联系。Avast 的分析人员强烈建议存在漏洞的追踪器用户立即更改密码。存在漏洞的设备完整清单附在专家报告的末尾。
