.
A sua campainha com vídeo se parece com a da foto? Talvez você tenha comprado barato na Amazon, Temu, Shein, Sears ou Walmart? Ele usa o aplicativo Aiwit?
Relatórios do Consumidor está relatando que a segurança dessas câmeras é tão incrivelmente relaxado, qualquer um poderia ir até sua casa, pegar a campainha e permanentemente tenha acesso às imagens estáticas capturadas, mesmo que você retome o controle.
As câmeras são vendidas por uma empresa chinesa chamada Eken sob pelo menos dez marcas diferentes, incluindo Aiwit, Andoe, Eken, Fishbot, Gemee, Luckwolf, Rakeblue e Tuck. Relatórios do Consumidor diz que mercados online como a Amazon vendem milhares deles todos os meses. Alguns deles até carregavam o selo Amazon's Choice, seu duvidoso selo de aprovação.
No entanto, a Amazon nem sequer respondeu Relatórios do Consumidor últimas descobertas que ouvimos, muito menos retirar as câmeras de suas prateleiras virtuais. Aqui está um deles à venda agora. O aplicativo de compras Temu, pelo menos, disse CR isso interromperia as vendas depois de ouvir como eles são incrivelmente fáceis de hackear.
Francamente, “hackear” pode ser uma palavra muito forte
Essas câmeras não apenas expõem seu endereço IP público e rede Wi-Fi em texto simples para qualquer pessoa que possa interceptar seu tráfego de rede (espero que você não os esteja verificando em Wi-Fi público!), eles supostamente transmitem instantâneos da sua varanda em servidores da web que não solicitam nenhum nome de usuário ou senha.
Um Relatórios do Consumidor Um funcionário de segurança conseguiu acessar livremente imagens do rosto de um colega de uma câmera Eken do outro lado do país, apenas descobrindo o URL correto.
Pior ainda, tudo o que um mau ator precisa para descobrir esses endereços da web é o número de série da sua câmera.
Pior ainda, um mau ator pode obter esse número de série simplesmente mantendo pressionado o botão da campainha por oito segundos e, em seguida, emparelhando novamente seu câmera com deles conta no aplicativo de smartphone Aiwit. E até que você assuma o controle de sua câmera novamente, eles também receberão vídeo e áudio.
Pior ainda, esse mau ator poderia compartilhar esses números de série com qualquer outra pessoa na Internet. Relatórios do Consumidor nos diz que, uma vez que o número de série seja divulgado, um mau ator pode escrever um roteiro que continuaria baixando quaisquer novas imagens geradas pela câmera.
Acho que você poderia dizer “Bem, essas câmeras só voltadas para ambientes externos e eu não me importo com isso”, mas Eken também anuncia câmeras voltadas para ambientes internos. (Relatórios do Consumidor nos diz que ainda não testou outros modelos Eken.) Também não quero que atores mal-intencionados saibam exatamente quando saio de casa.
Você pode dizer “Ah, isso não é uma grande ameaça porque um malfeitor precisa de acesso local à câmera” – mas isso pressupõe que eles não consigam descobrir uma maneira de aleatoriamente encontre números de série funcionais ou recrute piratas de varanda para explorar os bairros. Pelo menos os números de série parecem ser aleatórios, não incrementais, Relatórios do Consumidor diga-nos.
Você também pode dizer “Eken não vai simplesmente parar de hospedar essas imagens em URLs de acesso gratuito?” Isso seria bom, mas aparentemente não se incomodou em responder a Relatórios do Consumidor' pedidos de comentários.
Os servidores Aiwit fazem alguma coisa para evitar que hackers tentem URLs aleatoriamente até encontrarem imagens das câmeras das pessoas? Se for assim, Relatórios do Consumidor ainda não vi.
“Fiz dezenas de milhares de solicitações sem que nenhum mecanismo de defesa fosse acionado”, Relatórios do Consumidor', diz o engenheiro de privacidade e segurança Steve Blair A beira através de um porta-voz. “Na verdade, fiz barulho propositalmente (centenas de solicitações ao mesmo tempo, de um único IP/fonte, repetidas a cada dois minutos) para tentar determinar se alguma defesa estava presente. Não vi nenhuma limitação.”
Pelo menos Relatórios do Consumidor ainda não está sugerindo que isso tenha sido explorado em estado selvagem.
Não confirmamos essas falhas de forma independente, mas lemos os relatórios de vulnerabilidade que CR compartilhado com Eken e outra marca chamada Tuck. E não seria a primeira vez que uma empresa de câmeras de “segurança” negligenciou práticas básicas de segurança e enganou os clientes.
Anker admitiu que suas câmeras Eufy sempre criptografadas nem sempre foram criptografadas depois que meus colegas e eu conseguimos acessar uma transmissão ao vivo não criptografada de todo o país, usando um endereço que, como Eken, consistia em grande parte no número de série da câmera.
Enquanto isso, a Wyze recentemente permitiu que pelo menos 13.000 clientes vissem brevemente a propriedade de um estranho – a segunda vez que isso foi feito – enviando imagens de câmeras para os usuários errados. E isso foi depois que a empresa varreu uma vulnerabilidade de segurança diferente para debaixo do tapete por três anos inteiros.
Mas a vulnerabilidade do Eken pode ser ainda pior, porque parece distante mais fáceis de explorar e porque são rotulados sob tantas marcas diferentes que é mais difícil protestar ou policiar.
Relatórios do Consumidor diz que mesmo depois de Temu ter tocado algumas das campainhas preocupantes, continuou a vender outras – e que no final de fevereiro, apesar dos avisos aos retalhistas, a maioria dos produtos que encontrou ainda estavam à venda.
.
