Плюшевые мишки сболтнули лишнего

Игрушки с подключением к интернету шагают в ногу со временем, но представляют опасность для детей и их родителей. Каким образом личные данные владельцев плюшевых мишек оказываются в сети и почему эксперты не рекомендуют их покупать — в материале «Газеты.Ru». «Умные» плюшевые игрушки CloudPets от калифорнийской компании Spiral Toys оказались в центре скандала: хакеры предположительно получили доступ к 2 млн разговоров владельцев таких устройств. Кроме того, сообщается, что производитель игрушек был несколько раз уведомлен о том, что личные данные пользователей попали в онлайн-пространство, но взломанная база оставалась в открытом доступе в течение еще одной недели, прежде чем была удалена.

Сообщение, которое можно украсть

Spiral Toys специализируется на производстве товаров для детей, подключаемых к интернету. Игрушка CloudPets позиционируется компанией как «сообщение, которое можно обнять». Она предназначена для связи между родителями и детьми, если они находятся далеко друг от друга: пользователь записывает сообщение с помощью специального мобильного приложения, которое воспроизводится плюшевым зверем. Нажав кнопку на лапке игрушки, можно отправить голосовой ответ, который уходит на мобильное устройство с помощью Bluetooth, а потом пересылается на устройство получателя. Перед тем как пользоваться CloudPets, необходимо пройти онлайн-регистрацию. Согласно информации Motherboard, в январе 2017 года хакеры получили доступ и похитили электронные адреса и хешированные пароли около 800 тыс. владельцев CloudPets. К сожалению, компания не выставила никаких повышенных требований к надежности паролей, что, по мнению эксперта по безопасности Троя Ханта, привело к быстрой дешифровке большинства из них. «Данные пользователей в облаке CloudPets несколько раз просматривались неустановленными личностями. Есть основания полагать, что в некоторых случаях за эту информацию требовали денежный выкуп, — сообщил Хант в своем блоге. — Факт незаконного доступа к базе данных был установлен компанией, но никто из пострадавших пользователей не был уведомлен». В конце своего доклада эксперт предупредил родителей об опасности, которую таят в себе такие игрушки. «Покупая CloudPets или любые другие подобные устройства, вы должны осознавать, что ваши разговоры легко могут оказаться в руках злоумышленников», — пишет Трой Хант. Эксперты из Motherboard согласились с коллегой и порекомендовали воздержаться от покупки игрушек, относящихся к интернету вещей, и приобрести «старого доброго плюшевого медведя без доступа к сети». Исполнительный директор CloudPets Марк Майерс опроверг информацию о краже аудиозаписей. «Были ли слиты разговоры покупателей? Разумеется, нет. Заголовки, кричащие об утечке 2 млн записей, не соответствуют действительности», — заявил Майерс в интервью журналу NetworkWorld. The Guardian сообщает, что слова Майерса, скорее всего, относятся к тому факту, что записи разговоров хранились в отдельном хранилище — на файловом хостинге Amazon S3 в открытом доступе. При этом, чтобы получить доступ к данным, проходить авторизацию не нужно — хакеру достаточно просто угадать правильный URL и легко прослушать, о чем говорили покупатели CloudPets со своими детьми. Издание также указывает на то, что CloudPets в своем официальном видео по эксплуатации рекомендует покупателям при регистрации использовать пароль «qwe», что явно свидетельствует не в пользу производителя и дает основания полагать, что безопасность данных явно не в приоритете компании. Менеджер по группе продуктов ESET Сергей Кузнецов рассказал «Газете.Ru», что при правильной эксплуатации игрушки с выходом в интернет не опаснее, чем любые другие гаджеты с аналогичными свойствами, например смартфоны и планшеты. «Если игрушка подключена к Wi-Fi с доступом в интернет, достаточно соблюдать стандартные рекомендации: не подключаться к публичным сетям, использовать WPA2-шифрование, установить сложный пароль на подключение к сети, настроить фильтр по МАС-адресам или скрыть свою точку доступа от посторонних», — посоветовал эксперт.

Недетские забавы

Это не первый раз, когда невинные детские игрушки обвиняют в фактическом шпионаже. В конце 2016 года в центре внимания оказалась кукла Cayla от американской компании Genesis Toys. Эта кукла могла общаться с ребенком и отвечать на его вопросы, получая информацию из интернета. После того как было обнаружено, что Cayla записывала разговоры и отправляла их в некую третью компанию, специализирующуюся на распознавании речи, эта игрушка была официально запрещена на территории Германии. Федеральное сетевое агентство страны признало Cayla замаскированным шпионским устройством и попросило родителей «избавиться» от опасной куклы. Кроме того, в незаконном сборе данных были замечены и «игрушки для взрослых» — вибраторы We-Vibe 4 Plus, которые управляются с помощью смартфона. Как выяснилось, канадская компания-производитель собирала личную информацию о пользователях своего устройства в режиме реального времени, фиксируя момент включения девайса, его температуру и другие данные, тем самым нарушая закон о неприкосновенности частной жизни.