A legújabb kutatások azt mutatják, hogy az okosórák valódi kémeszközként működhetnek: például a gyorsulásmérő és giroszkóp adatait elemezve az okosóra tulajdonosával kapcsolatos olyan adatkészletet kapunk, amellyel akár vissza is élhetnek. Lehetővé teszik a felhasználó tevékenységeinek figyelését, a nyomon követését és sok más egyebet. A Kaspersky Lab közzétette legfrissebb tanulmányát az IoT-k sebezhetőségéről és informatikai biztonságáról.
Az elmúlt években a kiberbiztonsági szektor számos alkalommal hívta fel a figyelmet arra, hogy a személyes adatok nagyon értékes árucikkekké váltak a szinte korlátlan számú visszaélési lehetőségnek köszönhetően – az áldozatok kifinomult profilozásától kezdve a felhasználói viselkedés előrejelzéséig. A fogyasztói paranoia ellenére a személyes adatokkal való visszaélések száma egyre csak nő, ugyanis sokan fordítják figyelmüket az online platformok és az adatgyűjtési módszerek felé.
Az egészséges életmód is egyre elterjedtebb és sokan használnak okos eszközöket és/vagy alkalmazásokat azért, hogy fenntartsák, és segítsék ezt az életvitelt. De ez sajnos veszélyes következményekkel járhat. Ezeket az okos készülékeket, például az okosórákat, vagy a fitnesz karkötőket gyakran használják a sporttevékenységek során. Sok készüléknek van olyan beépített szenzora, amely képes a gyorsulást is mérni és sokszor kapcsolódik valamilyen forgó érzékelőhőz, pl. giroszkóphoz azért, hogy pontosabb legyen a lépésszámláló, valamint a felhasználó aktuális pozíciójának azonosítása. A Kaspersky Lab szakértői úgy döntöttek, alaposabban is megvizsgálják ezeket a készülékeket és azt, hogy milyen információkhoz képesek hozzájutni az illetéktelenek.
A probléma megvizsgálása érdekében a szakértők egy meglehetősen egyszerű alkalmazást fejlesztettek, amely beépített gyorsulásmérőkből és giroszkópból származó jeleket rögzített. A rögzített adatokat ezután egy hordozható eszköz memóriájába vagy egy Bluetooth-szal párosított mobiltelefonra töltötték fel.
Matematikai algoritmusok és az alkalmazásból kinyert adatok segítségével azonosítani lehetett a viselkedési mintákat, valamint a tevékenységek időtartamát, kezdetét és végét. A legfontosabb azonban, hogy olyan érzékeny felhasználói tevékenységeket is képesek voltak azonosítani, mint például a jelszó beírása a számítógépbe (96%-os pontossággal), a PIN-kód megadása az ATM készülékeken (87%-os eredményesség) és a mobiltelefonok feloldása (64%-a bizonyult eredményesnek).
Maga a jel-, és az adatkészlet az adott eszköz tulajdonosára jellemző egyedi viselkedés minta. Ezekkel az adatokkal egy harmadik fél megpróbálhatja beazonosítani a felhasználót – akár egy regisztrációs szakaszban lévő email cím segítségével, akár pedig az Android-fiók hitelesítő adataihoz való hozzáféréssel. Ezután már csupán idő kérdése, hogy egy felhasználót részletesen azonosítani lehessen, beleértve a napi rutint és azt, hogy pontosan mikor oszt meg értékes adatot. Mivel a felhasználói adatok értéke gyorsan nő, nem lesz meglepő, ha ezeket az adatokat gyorsan tudják értékesíteni a kiberbűnözők.
Nem kell feltétlenül exploittól tartani mindig, a kiberbűnözők határa mindössze a képzeletük és technikai tudásuk, mert a felhasználói adatokkal könnyedén lehet – legyen bármilyen jellegű, vagy témájú – kereskedni, visszaélni, kihasználni stb. Például a kapott jeleket dekódolhatják neurális hálózatok segítségével, vagy lehallgató készüléket helyezhetnek el az áldozat leggyakrabban látogatott ATM-készülékénél. Már láthattunk példát arra, hogy a kiberbűnözők 80%-os eredményességgel próbálnak gyorsulásmérő jelek dekódolásával jelszavakat, valamint az okosórán tárolt adatok segítségével PIN-kódot kinyerni.
„Az okos eszközök nem csupán mini kütyük, hanem olyan számítástechnikai készülékek, amelyek rögzíthetik, tárolhatják és feldolgozhatják a paramétereket. A kutatásaink azt mutatják, hogy még az olyan nagyon egyszerű algoritmusok is, amelyek az okosórákon futnak, képesek rögzíteni a gyorsulásmérő és a giroszkóp jeleit. Ezekkel az adatokkal beazonosítható, és nyomon követhető lesz a felhasználó beleértve az érzékeny információk bevitelének pillanatát is. Ezeket a tevékenységeket mind olyan legális alkalmazásokon keresztül lehet véghez vinni, amelyek titkos jeleket küldenek harmadik feleknek.” – magyarázta Sergey Lurye, a Kaspersky Lab biztonsági kutatója.
A Kaspersky Lab kutatói az alábbiakat javasolják okos készülékek használata esetén:
1. Ha az alkalmazás kérelmet küld a felhasználói adatok lekérésére, akkor legyünk óvatosak, mivel ennek segítségével a bűnözők könnyen létrehozhatják a tulajdonos „digitális ujjlenyomatát”.
2. Ha az alkalmazás kérelmet küld a földrajzi adatok elküldésére, akkor különösen legyen óvatos. Ne adjon a fitnesz karkötőjéhez tartozó alkalmazásnak extra jogosultságokat.
3. Ne használjuk az ilyen készülékekhez a vállalati email címünket bejelentkezéshez.
4. A készülék gyors akkumulátor fogyasztása is aggodalomra adhat okot. Ha a modul néhány óra után lemerül, akkor ellenőrizze a tevékenységét. Elképzelhető, hogy adatokat továbbít jogosulatlanok felé.
