Erro de Segurança Encontrado em Máquinas de Lavar Conectadas Comerciais
Não se pode dizer o suficiente: se um objeto pode ser conectado, ele traz um risco de segurança. Mesmo máquinas de lavar conectadas comerciais foram encontradas com um grande erro de segurança que permitia que qualquer pessoa enviasse comandos remotamente para as máquinas.
Dica: quer manter seu PC protegido? Experimente essas configurações do Windows para proteção gratuita do PC.
Dois Estudantes Encontram Erro de Segurança em Máquinas de Lavar
Esse problema foi descoberto pela primeira vez por dois estudantes universitários da Califórnia, Alexander Sherbrooke e Iakov Taranenko. O primeiro estava sentado na lavanderia do porão em janeiro, enquanto usava seu laptop, tentando construir um aplicativo para rastrear o status das máquinas de lavar. Ele começou a pensar sobre isso, então executou algumas instruções de código em uma das máquinas de lavar para iniciar um ciclo, mesmo sem ter saldo em sua conta de lavanderia. A máquina ligou e mostrou a mensagem “Pressione Iniciar.”
Ele e seu amigo tentaram adicionar um saldo falso de 13 milhões de dólares em uma conta de lavanderia. Isso foi detectado no aplicativo móvel da máquina como se ele realmente tivesse depositado. Essas vulnerabilidades poderiam levar a muitas coisas, mas certamente poderiam permitir que estudantes, ou qualquer pessoa, por sinal – fizessem sua lavanderia de graça.
FYI: aprenda o que é o botão de Segurança do Windows e como usá-lo.
Erro de Segurança em Máquinas de Lavar Reportado
Os estudantes Sherbrooke e Taranenko relataram suas descobertas à CSC ServiceWorks, uma empresa de serviços de lavanderia que opera as máquinas. A empresa gerencia uma rede de mais de um milhão dessas máquinas que são encontradas em hotéis, universidades e residências nos Estados Unidos, Canadá e Europa.
Eles não conseguiram encontrar uma página de segurança dedicada para relatar tais coisas, então enviaram várias mensagens para um formulário de contato online, mas nunca receberam resposta da empresa. Também foi relatado ao CERT Coordination Center da Carnegie Mellon University. O CERT ajuda a divulgar falhas de segurança.
Foi notado que comandos poderiam ser enviados para os servidores das máquinas, já que as verificações de segurança estão no dispositivo do usuário no aplicativo. Os servidores da CSC confiam neles sem questionar. Uma vez que analisaram o tráfego da rede, os dois estudantes descobriram que podiam contornar as verificações de segurança e enviar os comandos para o serviço. Endereços de e-mail usados para criar uma conta com o aplicativo também não são verificados.
Após os habituais três meses de espera para que a CSC fizesse algo antes de tornar público, Sherbrooke e Taranenko estão revelando mais. Eles acreditam que a vulnerabilidade está na API do aplicativo móvel. A CSC não fez nada para corrigir o aplicativo, mas eliminou o saldo bancário falso maior. No entanto, quantias menores de $50 a $100 permanecem na conta.
É preciso notar que esse problema de segurança está em toda a rede de dispositivos – não apenas nas máquinas daquele campus universitário em particular. É aí que está a preocupação. Se as máquinas de lavar têm esse erro de segurança, pense em quantos outros objetos conectados, que de outra forma seriam inócuos, têm uma vulnerabilidade de segurança. Continue lendo para aprender como proteger sua privacidade e segurança no Android.
Crédito da imagem: Unsplash
