L'incubo sicurezza legato alla Internet of Things (IoT) non ha fine e, ancora una volta, a mettere a repentaglio la privacy di migliaia di persone sono i cosiddetti giocattoli intelligenti. Se il caso della bambola Cayla ha fatto notizia per la denuncia legata al rischio di violazioni della privacy, quello dei CloudPets è invece il primo caso in cui il rischio si è trasformato in un vero incidente di sicurezza che ha interessato i dati personali di 821.296 famiglie.
I pupazzi hi-tech, commercializzati da Spiral Toys, permettono a bambini e genitori di scambiarsi messaggi vocali utilizzando Internet e un collegamento Bluetooth tra il giocattolo e i dispositivi mobile di casa. Insomma: un sistema simpatico per consentire a papà e mamma di rimanere sempre in contatto con i loro figli. Quello che gli affettuosi genitori probabilmente ignoravano, era che l'accesso a tutti i messaggi registrati e inviati con i giocattoli e le app dedicate erano affidati a un server in Romania che non aveva alcun tipo di protezione.
Ad accorgersi del fattaccio è stato Troy Hunt, uno dei gestori del sito Have I been Pwned?. Hunt ha notato infatti che il database MongoDB di Spiral Toys su cui erano memorizzate le informazioni degli account era esposto su Internet e, peggio ancora, era stato indicizzato dal popolare motore di ricerca Shodan. In pratica, il server non solo aveva le porte aperte a chiunque, ma poteva essere individuato con estrema facilità.
Il prevedibile risultato è stato che un gruppo di pirati è riuscito a mettere le mani sull'intero database. Anzi, secondo Hunt i dati conservati sul server di Spiral Toy avrebbe subito numerose visite tra il 25 dicembre e l'8 gennaio.
Il periodo è esattamente quello in cui si sono verificati i primi casi di attacchi ransom nei confronti dei database MongoDB. Lo schema è simile a quello dei ransomware: i pirati accedono al server, fanno una copia del database e sostituiscono quello in locale con una richiesta di riscatto che gli amministratori devono pagare per riavere i loro dati. Una tecnica semplice ed efficace, al punto che nel giro di una manciata di giorni il conto dei database MongoDB colpiti ha raggiunto quota 27.000.
Stando alla ricostruzione di Troy Hunt, non ci è voluto molto perché l'attenzione dei pirati si concentrasse anche sul database di Spiral Toys: il 7 gennaio il database con i dati di più di 800.000 utenti (e le registrazioni di 2 milioni di messaggi vocali) è stato rubato e sostituito con una richiesta di riscatto.
Per restituire i dati, i pirati chiedevano 1 Bitcoin, corrispondenti in quel periodo a circa 900 dollari. Il problema, come sottolinea Hunt, è però un altro: gli hacker a quel punto avevano messo le mani sulle informazioni contenute al suo interno.
Ma quali informazioni c'erano sul database? Hunt ha fatto un'accurata ricostruzione del funzionamento del sistema usato da Spiral Toys e ha scoperto che nel database c'erano le informazioni degli account registrati dagli utenti, protetti da un hashing bcrypt. I messaggi vocali, invece, erano conservati altrove.
Tutto bene, quindi? No. Perché utilizzare un buon sistema di hashing non è sufficiente. Le policy per la scelta della password, infatti, non prevedono alcun numero minimo di caratteri o altro parametro di sicurezza. In pratica, un utente potrebbe inserire una password di un solo carattere.
Utilizzando un attacco a dizionario con le password più comuni (come "QWERTY" o "123456") Hunt è riuscito a craccare buona parte degli account in una manciata di minuti. Per quanto riguarda i messaggi, i file WAV erano conservati su server Amazon, ma nel database c'erano i collegamenti relativi a ognuno di essi, e il download poteva essere eseguito senza che fosse richiesta alcuna forma di autorizzazione.
Insomma oltre ad aver lasciato esposto un database con informazioni sensibili, gli sviluppatori non hanno previsto un metodo per limitare l'accesso ai messaggi vocali. Dulcis in fundo, anche quando è venuta a conoscenza dell'attacco (ed era impossibile non accorgersene) Spiral Toys non ha avvisato in alcun modo i suoi clienti. C'è bisogno di aggiungere altro?