Bug di Sicurezza Trovato nelle Lavatrici Commerciali Connesse

Non si può dire abbastanza: se un oggetto può essere connesso, comporta un rischio per la sicurezza. Anche le lavatrici commerciali connesse sono state trovate con un grave bug di sicurezza che consentiva a chiunque di inviare comandi da remoto alle macchine.

Suggerimento: vuoi mantenere il tuo PC protetto? Prova queste impostazioni di Windows per una protezione gratuita del PC.

Due Studenti Trovano un Bug di Sicurezza nelle Lavatrici

Questo problema è stato scoperto per la prima volta da due studenti universitari della California, Alexander Sherbrooke e Iakov Taranenko. Il primo si trovava nella lavanderia del seminterrato a gennaio mentre era al suo laptop, cercando di costruire un’app per monitorare lo stato delle lavatrici. Ha iniziato a pensarci, poi ha eseguito alcune istruzioni di codice su una delle lavatrici per avviare un ciclo, anche se non aveva saldo nel suo conto lavanderia. La macchina si è accesa e ha mostrato il messaggio “Premi Start.”

Lui e il suo amico hanno provato ad aggiungere un saldo fittizio di 13 milioni di dollari in un conto lavanderia. È stato rilevato nell’app mobile della macchina come se lo avesse realmente depositato. Queste vulnerabilità potrebbero portare a molte cose, ma potrebbero certamente consentire agli studenti, o a chiunque altro, di fare il bucato gratuitamente.

FYI: scopri cos’è il pulsante di Sicurezza di Windows e come usarlo.

Bug di Sicurezza Lavatrici Segnalato

Gli studenti Sherbrooke e Taranenko hanno segnalato le loro scoperte a CSC ServiceWorks, una compagnia di servizi di lavanderia che gestisce le macchine. L’azienda gestisce una rete di oltre un milione di queste macchine che si trovano in hotel, università e residenze negli Stati Uniti, in Canada e in Europa.

Non sono riusciti a trovare una pagina di sicurezza dedicata per segnalare tali cose, quindi hanno inviato diversi messaggi a un modulo di contatto online ma non hanno mai ricevuto risposta dall’azienda. È stato anche segnalato al CERT Coordination Center della Carnegie Mellon University. Il CERT aiuta a divulgare le vulnerabilità di sicurezza.

È stato notato che i comandi potevano essere inviati ai server delle macchine, poiché i controlli di sicurezza sono sul dispositivo dell’utente nell’app. I server di CSC si fidano di loro senza fare domande. Una volta esaminato il traffico di rete, i due studenti hanno scoperto che potevano aggirare i controlli di sicurezza e inviare i comandi al servizio. Gli indirizzi email utilizzati per creare un account con l’app non vengono nemmeno verificati.

Dopo i consueti tre mesi di attesa affinché CSC facesse qualcosa prima di renderlo pubblico, Sherbrooke e Taranenko stanno rivelando di più. Credono che la vulnerabilità sia nell’API per l’app mobile. CSC non ha fatto nulla per correggere l’app, ma ha eliminato il saldo bancario fittizio più grande. Tuttavia, importi più piccoli di $50 a $100 rimangono nel conto.

È importante notare che questo problema di sicurezza riguarda l’intera rete di dispositivi, non solo quelli in quel particolare campus universitario. Questo è ciò che preoccupa. Se le lavatrici hanno quel bug di sicurezza, pensa a quanti altri oggetti connessi, che altrimenti sarebbero innocui, hanno una vulnerabilità di sicurezza. Continua a leggere per scoprire come proteggere la tua privacy e sicurezza su Android.

Crediti immagine: Unsplash