«Умные» устройства, а также подключенную к интернету вещей (IoT) домашнюю бытовую технику можно использовать не только для наблюдения за ее владельцем. Были случаи, когда злоумышленники портили имущество и пугали людей, получив доступ к системе «умного дома». Поэтому важно, чтобы любое IoT-устройство имело актуальное обновление безопасности и сложный пароль.
Чаще всего проблемы возникают с дешевыми устройствами, поскольку производители бюджетных гаджетов экономят на всем, в том числе на программном обеспечении. Также злоумышленники используют известные уязвимости и базы паролей для атаки на умные устройства, владельцы которых используют настройки «по умолчанию».
Взломанные устройства часто становятся частью DDoS-ботнета, а иногда их используют для майнинга криптовалют. Обе ситуации неприятные, но их достаточно легко пережить. Хуже, если злоумышленник начинает целенаправленно портить жизнь владельцу умных гаджетов. Например, менять настройки приборов, включать и отключать разные устройства. И это не шутки — подобных историй более чем достаточно.
ИИ-полтергейст
Устаревшие или оказавшиеся без поддержки разработчика IoT-устройства могут принести больше вреда, чем пользы.
Переехавший в 2024 году в новый дом американец очень скоро заподозрил, что в его доме завелась потусторонняя сущность. Ровно в 8 утра на окнах раздвигались шторы, а на закате они снова закрывались. В полночь включалось отопление, а светильники и вентиляторы и вовсе работали хаотично.
Понятно, что все это происходило не само по себе, а в результате работы системы умного дома, оставшейся от предыдущего владельца жилья. Но проблема заключалась даже не в том, что гаджеты работали сами по себе, а в том, какие технологии умного дома использовал предыдущий владелец квартиры.
Некоторые устройства оказалось легко перепрограммировать с помощью сброса настроек до заводских. Но некоторые использовали систему управления Insteon, которая перестала выпускать обновления и отключила свои сервера еще в 2021. Компания-разработчик закрылась, и никто не мог помочь с перенастройкой техники, продолжавшей жить своей жизнью. Не до конца помогло даже отключение хаба-концентратора, который должен был централизованно управлять всей системой умного дома. Шторы и термостат продолжали работать, как прежде.
На помощь пришло сообщество энтузиастов, которые продолжили дело Insteon и создали новый хаб-концентратор, способный работать с современными устройствами и поддерживающий старые. Американцу пришлось купить такое устройство и установить его взамен старого. Только после этого удалось наладить работу всех умных устройств в доме.
Стример поневоле
Подключенные к интернету видеокамеры входят в список устройств, которые особенно интересны мошенникам. Их могут использовать как часть ботнет-сети или в качестве прокси для анонимизации различной деятельности, а еще — для подглядывания за личной жизнью.
Летом 2023 года много шума наделала история с жительницей Подмосковья, которая купила на Aliexpress камеру с функцией передачи данных по Wi-Fi и разрешением в 1080p, чтобы наблюдать за своей собакой. Вот только камера оказалась с сюрпризом. Она честно показывала хозяйке ее питомца, но вместе с этим снимала и саму девушку, а затем отправляла видео и фото интимного характера на китайский сайт для извращенцев.
Трудно установить, когда камера превратилась в инструмент слежки. Возможно, ее взломали уже после того, как жительница Московской области установила ее у себя дома. Тем не менее, правильная настройка гаджета могла помочь избежать такой проблемы.
Опасная радионяня
Радионяня — замечательное устройство, особенно в большом доме или квартире. С помощью этого гаджета удобно заниматься своими делами, контролируя сон малыша. Однако и тут важно позаботиться о безопасности, как минимум изменив заводские настройки на свои. И вот почему.
Калифорнийскую семью атаковал неизвестный хакер. Он сумел взломать настроенную как радионяня умную камеру Nest, и начал голосом общаться с жителями дома. Сначала злоумышленник похвалил обстановку дома, пошутил о слишком простом пароле на устройстве, а затем потребовал, чтобы с ним поговорили. Когда реакции не последовало, начал выкрикивать оскорбления, а затем пригрозил, что придет за ребенком.
После этого владельцы дома экстренно отключили все камеры и на всякий случай убежали из дома. Спустя какое-то время после инцидента глава семьи узнал, что подобные истории не редкость. Злоумышленники иногда пытаются воздействовать на детей, прося их о чем-то или заставляя слушать самые разные аудиозаписи. Также был случай, когда семью напугали сигналом экстренного оповещения о ядерном ударе по стране, прозвучавшем из взломанной видеокамеры.
Устройство бренда Nest оказалось фигурантом еще одной успешной хакерской атаки. В 2018 году семейная американская пара приобрела термостат, дверной звонок и камеру видеонаблюдения Nest. После установки некоторое время все работало нормально, но однажды они услышали чей-то голос из камеры, установленной на кухне.
На первый раз этому не придали значения, списав все на кратковременный сбой. Однако вечером в доме поднялась температура, а из камеры снова донесся голос и заиграла музыка. Супруги сменили пароли, но все продолжилось снова. К тому же неизвестный постоянно включал термостат на обогрев воздуха до +32 градусов по Цельсию, из-за чего дома стало неимоверно жарко. В итоге помогла только смена идентификатора сети Wi-Fi, после которой семью прекратили терроризировать. По всей видимости, кому-то удалось взломать их сеть Wi-Fi.
Пылесос-шпион
Возможно, вы встречали милое видео, где парень совершает видеозвонок на робот-пылесос и мяукает, чтобы его пушистый друг не скучал, оставаясь дома один.
Слабая защита таких устройств делает пылесосы отличной мишенью для атак. Группа ученых из университета Мэриленда и Национального университета Сингапура еще в 2020 году продемонстрировала способ превратить умный пылесос в шпионское устройство, записывающее разговоры поблизости.
Лидарные навигационные системы в домашних роботах-пылесосах освещают лазерным лучом комнату и считывают отражение лазера от близлежащих объектов. Робот использует отраженные сигналы, чтобы избегать столкновений с мебелью и другими предметами. Звуковые волны заставляют объекты вибрировать, и эти колебания вызывают небольшие изменения в отражающемся от объекта свете.
Исследователи зафиксировали лазерный сигнал, воспринимаемый навигационной системой вакуумного робота-пылесоса, когда он отражался от различных объектов, расположенных рядом с источником звука. Среди предметов были мусорное ведро, картонная коробка, контейнер для еды и мешок для мусора — предметы, которые обычно можно найти на полу.
Полученные сигналы обработали с помощью нейросети и смогли распознать речь с точностью более 90%.
Понятно, что это скорее теоретическая уязвимость, которая вряд ли способна нанести вред обычным людям. Однако при помощи вредоносной прошивки злоумышленник способен остановить работу пылесоса, заставив лидар улавливать разговоры в помещении.
Кровать-болтун
Стремясь завоевать свою долю рынка, производители выпускают все более необычные товары, способные подключаться к интернету и взаимодействовать с системой умного дома. Однако погоня за прибылью часто вынуждает компании экономить на комплектующих или софте. Из-за этого покупатель может столкнуться с весьма неприятными сюрпризами.
Умная кровать Sleep Number способна отслеживать сон вместо умных часов и настраивать температуру матраца. А еще — менять жесткость матраса в зависимости от предпочтений владельца.
Работа умной кровати основана на выпущенном в 2018 году дистрибутиве ОС Linux. В нем есть возможность подключиться через сетевой протокол SSH к контроллеру, отвечающим за управление операционной системой. Данные в этом случае передаются открыто, без шифрования, поэтому можно получить доступ ко всей домашней сети и подключенным к ней устройствам.
Таким образом, через кровать можно заразить все умные гаджеты в доме. Или заставить владельца кровати спать на жестком, словно камень, матрасе.
Стиральная машина — потребитель трафика
Любой подключенный к интернету гаджет в теории может пропускать через себя большой объем данных. То есть стать инструментом для майнинга биткоина или проведения DDoS-атак. Бывают более безобидные, но все же неприятные ситуации.
Владелец умной стиральной машины LG WM9000HVA обнаружил, что его устройство потребляет суммарно 3,66 ГБ трафика в сутки. Из них 3,57 ГБ тратится на процесс Upload, а лишь 96 МБ на Download.
На устройстве изначально установили актуальную версию прошивки, и свежих обновлений на сайте производителя не было. Предположения о том, что устройство получает информацию о новых режимах стирки, тоже не подтвердились. Путем наблюдений удалось установить, что данные в интернет стиральная машина выгрузила только во время простоя.
Другие владельцы подобных устройств сообщили, что их стиральные машины потребляют не более 1 МБ в сутки. Так что проблема совершенно точно была в конкретном устройстве. Путем долгих исследований удалось установить, что причиной такого странного потребления трафика было ложное срабатывание роутера ASUS. Неправильная запись данных на этом маршрутизаторе привела к неправильной работе стиральной машины.
В процессе изучения выяснилось, что программное обеспечение LG WM9000HVA не предусматривает возможность сброса настроек беспроводного соединения с интернетом. Стоит один раз сохранить в памяти машины название сети Wi-Fi и пароль от нее, и они останутся в ней навечно.
Стоит ли опасаться умных гаджетов
Нет, не стоит. Несмотря на такое количество инцидентов с умными устройствами атаки на них не носят массовый характер. Да, можно заставить умный холодильник перестать морозить, из-за чего испортятся продукты. Или дистанционно нагреть выпрямитель для волос, чтобы обжечь хозяйку. Но существует вопрос соотношения выгоды от атаки и ее трудоемкости.
Доступ к роботу-пылесосу в чужом доме может потешить самолюбие хакера, но монетизировать это трудно. Поэтому основной целью атак остаются промышленные устройства, а не системы умного дома. Здесь потенциальная выгода исчисляется миллиардами долларов.
Впрочем, стоит следовать простым рекомендациям для защиты своих гаджетов от начинающих хакеров, которые не прочь «потренироваться» на обычных людях.
Во-первых, обязательно меняйте пароли, используемые в устройствах по умолчанию. Если есть возможность — периодически обновляйте их.
Во-вторых, создайте отдельную сеть для устройств умного дома. Можно настроить режим гостевого доступа. И тогда злоумышленник, даже взломав одно устройство, не сможет получить доступ к другим.
В-третьих, включите настройки безопасности на роутере, используйте сложный пароль для доступа к нему.
Соблюдение этих рекомендаций позволит защититься от большинства угроз, связанных со взломом систем умного дома.