搜索

[3590] 2017-03-01_物联网安全新事故：智能玩具导致超过200万父母与儿童语音信息外泄

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-16
2017-03-01_物联网安全新事故：智能玩具导致超过200万父母与儿童语音信息外泄 物 联 网 安 全 新 事 故 ： 智 能 玩 具 导 致 超 过 2 0 0 万 父 母 与 儿 童 语 音 信 息 外 泄 原 创   E 安 全   E 安 全   2 0 1 7 - 0 3 - 0 1 E 安 全 3 月 1 日 讯   一 家 互 联 网 接 入 型 智 能 动 物 玩 具 厂 商 遭 遇 数 据 泄 露 ， 敏 感 客 户 数 据 库 受 到 恶 意 入 侵 。 此 次 事 故 外 泄 的 内 容 包 括 超 过 2 0 0 万 父 母 与 儿 童 的 语 音 消 息 ， 外 加 超 过 8 0 万 个 帐 户 的 电 子 邮 箱 地 址 与 密 码 数 据 。 根 据 本 周 一 由 T r o y   H u n t 发 表 的 博 客 文 章 介 绍 ， 这 些 数 据 被 保 存 在 一 套 未 经 密 码 保 护 的 公 开 数 据 库 当 中 。 他 表 示 曾 于 去 年 1 2 月 2 5 日 到 今 年 1 月 8 日 期 间 利 用 S h o d a n 计 算 机 搜 索 引 擎 及 其 它 证 据 进 行 调 查 分 析 ， 最 终 确 定 该 客 户 数 据 已 经 由 多 方 多 次 进 行 访 问 ， 其 中 包 括 最 终 掌 握 该 数 据 并 实 施 勒 索 的 恶 意 人 士 。 此 次 泄 露 的 数 据 来 自 S p i r a l   T o y s 公 司 ， 即 C l o u d P e t s 系 列 动 物 填 充 玩 具 的 制 造 商 。 这 些 智 能 玩 具 能 够 记 录 并 播 放 由 父 母 与 儿 童 通 过 互 联 网 发 出 的 语 音 消 息 。 用 于 容 纳 这 些 数 据 的 M o n g o D B 数 据 库 中 保 存 有 近 2 2 0 万 条 语 音 记 录 ， 由 一 家 名 为 m R e a d y 的 罗 马 尼 亚 企 业 负 责 管 理 — — 其 与 S p i r a l   T o y s 之 间 似 乎 保 持 着 合 作 协 议 。 H u n t 指 出 ， 人 们 至 少 向 该 玩 具 制 造 商 发 出 了 四 次 数 据 泄 露 提 醒 。 无 论 如 何 ， 最 终 勒 索 方 留 下 的 证 据 表 明 该 制 造 商 的 管 理 层 几 乎 一 定 已 经 了 解 到 此 番 入 侵 事 件 。
这 套 数 据 库 目 前 已 可 直 接 访 问 ， 且 未 经 任 何 密 码 保 护 这 套 数 据 库 目 前 已 可 直 接 访 问 ， 且 未 经 任 何 密 码 保 护 H u n t 在 报 告 中 写 道 : 我 们 很 难 相 信 C l o u d P e t s （ 或 者 m R e a d y ） 方 面 此 前 并 未 第 一 时 间 了 解 到 情 况 ， 但 相 关 数 据 库 仍 持 续 处 于 开 放 状 态 并 随 后 遭 到 恶 意 方 的 访 问 。 很 明 显 ， 恶 意 人 士 变 更 了 该 系 统 的 安 全 配 置 ， 而 厂 商 则 无 法 忽 视 对 方 留 下 的 勒 索 要 求 。 因 此 数 据 库 暴 露 与 勒 索 行 为 必 然 已 经 被 厂 商 所 发 现 ， 但 其 却 从 未 对 此 事 进 行 通 报 。 家 长 请 务 必 慎 重 购 买 使 用 家 长 请 务 必 慎 重 购 买 使 用 智 能 玩 具 智 能 玩 具 此 次 数 据 泄 露 进 一 步 引 发 了 人 们 对 于 互 联 网 接 入 型 智 能 玩 具 在 隐 私 及 安 全 性 方 面 薄 弱 表 现 的 担 忧 。 2 0 1 5 年 1 1 月 ， 技 术 新 闻 网 站 M o t h e r b o a r d
就 曾 经 披 露 玩 具 制 造 商 V T e c h 遭 遇 入 侵 ， 近 5 0 0 万 名 成 年 用 户 的 姓 名 、 电 子 邮 箱 地 址 、 密 码 、 住 址 以 及 超 过 2 0 万 儿 童 的 姓 名 、 性 别 与 生 日 不 慎 外 泄 。 就 在 一 个 月 后 ， 一 位 研 究 人 员 又 发 现 美 泰 公 司 生 产 的 互 联 网 接 入 型 芭 比 娃 娃 中 存 在 的 漏 洞 可 能 允 许 黑 客 拦 截 用 户 的 实 时 对 话 。 除 了 将 客 户 数 据 库 保 存 在 可 公 开 访 问 的 位 置 之 外 ， S p i r a l   T o y s 公 司 还 利 用 一 款 未 经 任 何 验 证 机 制 保 护 的 A m a z o n 托 管 服 务 存 储 客 户 的 个 人 资 料 、 儿 童 姓 名 及 其 与 父 母 、 亲 属 及 朋 友 间 的 关 系 信 息 。 只 需 要 了 解 文 件 的 所 处 位 置 ， 任 何 人 都 能 够 轻 松 获 取 到 该 数 据 — — H u n t 表 示 ， 文 件 位 置 信 息 亦 不 难 找 到 。 更 奇 怪 的 是 ， 对 于 安 全 管 理 如 此 宽 松 的 产 品 ， 该 服 务 本 采 用 了 极 为 严 密 的 b c r y p t 散 列 函 数 进 行 密 码 保 护 。 然 而 遗 憾 的 是 ， C l o u d P e t s 使 用 了 有 史 以 来 最 为 宽 松 的 一 项 密 码 策 略 。 其 允 许 使 用 任 何 密 码 内 容 — — 例 如 单 个 字 符 “ a ” 或 者 短 键 盘 序 列 “ q w e ” 这 样 的 密 码 设 置 。 H u n t 写 道 ， “ 这 意 味 着 当 我 在 将 b c r y p t 哈 希 输 入 密 码 破 解 应 用 h a s h c a t 并 参 照 全 球 使 用 频 率 最 高 的 密 码 词 汇 表 时 （ 包 括 ‘ q w e r t y ’ 、 ‘ p a s s w o r d ’ 以 及 ‘ 1 2 3 4 5 6 ’ 等 ） ， 我 能 够 在 很 短 的 时 间 内 破 解 大 量 密 码 。 ” 近 年 来 ， 无 数 事 例 给 我 们 带 来 的 教 训 在 于 ， 所 谓 物 联 网 产 品 的 安 全 性 非 常 糟 糕 ， 以 至 于 将 其 接 入 互 联 网 不 会 带 来 任 何 好 处 。 随 着 此 次 C l o u d P e t s 的 沦 陷 ， 互 联 网 接 入 型 玩 具 在 成 为 重 大 安 全 隐 患 的 道 路 上 又 迈 出 了 致 命 的 一 步 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理