Обнаружена уязвимость в центре управления умным домом

Обнаружена уязвимость в центре управления умным домом

Обнаружена уязвимость в центре управления умным домом

Исследователи «Лаборатории Касперского» протестировали один из хабов для умного дома — это устройство для централизованного управления всеми сенсорами и IoT-техникой в системе. Анализ показал, что через обнаруженные уязвимости злоумышленники могут получить доступ к различной информации, например, скачать архив с персональными данными пользователей, войти в их аккаунт и в результате получить контроль над всеми устройствами, подключёнными к умному дому.

Ключевым элементом в умном доме является смарт-хаб. Он отвечает за сбор информации с сенсоров и управление ими. Благодаря таким хабам настройки всех устройств можно централизованно регулировать через веб-интерфейс или мобильное приложение. Однако это делает смарт-хабы привлекательной мишенью для злоумышленников и потенциальной точкой входа для проведения атак.

Так, эксперты «Лаборатории Касперского» обнаружили, что изученный хаб отсылает серверу данные пользователя, включая его ID и пароль, а иногда и другую персональную информацию, например, номер телефона. Злоумышленники могут получить доступ к передаваемому архиву, отправив серверу легитимный запрос с серийным номером устройства. Его, в свою очередь, можно подобрать методом обычного перебора и затем проверить легитимность через запрос к сервису. Если устройство с этим серийным номером зарегистрировано в облачной системе, преступники получат от неё подтверждение. В результате они смогут войти в аккаунт пользователя и управлять настройками сенсоров и контроллеров, присоединённых к хабу.

«Лаборатория Касперского» сообщила производителю устройства о найденных уязвимостях, сейчас идёт работа над их исправлением.

«Последние несколько лет умные устройства находятся под пристальным вниманием экспертов по кибербезопасности. К сожалению, такие девайсы всё ещё часто оказываются небезопасными. Мы выбрали смарт-хаб для изучения практически наугад, и то, что он оказался уязвимым для атак — лишь подтверждает этот факт. Вполне возможно, что сегодня буквально в каждом IoT-устройстве, даже самом простом, есть как минимум одна проблема с безопасностью. Например, недавно мы исследовали умную лампочку. Казалось бы, что может пойти не так с устройством, единственная возможность которого — менять параметры освещения с помощью смартфона? Но мы обнаружили, что эта лампочка хранит все данные для входа в Wi-Fi-сети, к которым она подключалась. Причём хранит их в незашифрованном виде. Другими словами, сегодня ситуация в области безопасности IoT-устройств такова, что даже лампочка может стать «слабым звеном» и использоваться для кибератаки», — добавил Владимир Дащенко, руководитель группы исследования уязвимостей систем промышленной автоматизации и интернета вещей Kaspersky Lab ICS CERT.

«Крайне важно, чтобы производители задумывались о безопасности устройств и их пользователей на этапе разработки своих продуктов. Даже малейший недочёт в системе киберзащиты может привести к печальным последствиям», — подчеркнул Владимир.

Recall в Windows 11 может записывать пароли и банковские данные

Переход на Windows 11 долго считался вопросом времени. Рано или поздно, дескать, всё равно придётся. Однако теперь специалисты по защите данных всё чаще говорят обратное: если вам важна конфиденциальность, с обновлением лучше повременить.

Поводом для тревоги стала ИИ-функция Recall, о которой пишет PCWorld. Она способна автоматически сохранять скриншоты экрана и, по мнению экспертов, может фиксировать важные данные: пароли, банковскую информацию, медицинские сведения и другую информацию.

Организация Centre for Digital Rights and Democracy прямо рекомендует пользователям, работающим с конфиденциальными данными, избегать Windows 11 вообще. Причина простая: даже если Recall отключён, он остаётся частью операционной системы.

Microsoft утверждает, что функция доступна только на Copilot+ PC, но, как отмечают эксперты, Recall обнаружен на всех компьютерах с Windows 11 версии 24H2. А значит, теоретически его можно активировать через обновления и без согласия пользователя.

Пока Recall встроен в систему, он рассматривается как потенциальный риск, а постоянная запись экранного контента, по мнению правозащитников, может даже нарушать требования GDPR.

Специалисты по защите данных выделяют несколько сценариев — с разной степенью риска:

  • Остаться на Windows 10, пока она получает патчи.
    Самый надёжный вариант, но только до октября 2026 года, когда закончится программа расширенной поддержки.
  • Перейти на Windows 11 и отключить Recall.
    Частично снижает риски, но не решает проблему полностью: функция остаётся в системе.
  • Перейти на Windows 11 и довериться Microsoft.
    Эксперты оценивают этот вариант как наименее безопасный — политика компании может измениться в любой момент.

С учётом того, что у Windows 10 есть чёткая дата окончания поддержки, правозащитники всё чаще советуют заранее рассматривать альтернативы, в первую очередь — Linux, как более прозрачную и контролируемую платформу.

«Ситуация вокруг Windows 11 наглядно показывает, к каким последствиям может привести поспешное внедрение новых технологий. Стремясь как можно быстрее вывести на рынок ИИ-функции, Microsoft сталкивается с серьёзными вопросами безопасности. Для коммерческих организаций — особенно в финансовом секторе, государственных структурах и на объектах критической информационной инфраструктуры — такие риски недопустимы.

Операционная система Astra Linux изначально разрабатывалась с фокусом на защиту корпоративных данных: безопасность здесь не дополнительная надстройка, а базовый элемент архитектуры. В платформе реализованы развитые механизмы защиты, включая мандатный контроль целостности (МКЦ), который обеспечивает комплексный подход — предотвращает несанкционированный доступ к данным, контролирует целостность системных файлов и блокирует их модификацию, разграничивает доступ на уровне процессов и надёжно защищает от утечек информации.

Эти механизмы проверены временем и позволяют нашим заказчикам быть уверенными в сохранности критически важной информации», — прокомментировал Роман Мылицын, руководитель отдела перспективных исследований «Группы Астра».

RSS: Новости на портале Anti-Malware.ru