Гигантская утечка данных в индустрии IoT

Исследователь выявил массовую утечку данных индустрии IoT. Утечка данных затронула несколько производителей. Скомпрометированная база содержала 2,7 млрд различных записей. В результате утечки данных раскрыты пароли Wi-Fi, IP-адреса и ID устройств.

Исследователь кибербезопасности Йеремия Фаулер (Jeremiah Fowler) обнаружил в открытом доступе огромную базу данных, принадлежащую китайской компании Mars Hydro, специализирующейся на производстве светильников для роста растений (фитоламп) с использованием технологий интернета вещей (IoT) и разработке ПО для сельского хозяйства.

База данных, о которой идет речь, содержит 2,7 млрд записей объемом 1,17 ТБ. Это настоящая сокровищница конфиденциальной информации, включая имена сетей Wi-Fi (SSID), пароли, IP-адреса, ID устройств, адреса электронной почты и многое другое.

Согласно сообщению Фаулера для блога компании vpnMentor, в базе данных Mars Hydro обнаружены папки, которые были помечены для регистрации, мониторинга и записей об ошибках в IoT-устройствах по всему миру.

По всей видимости, часть скомпрометированных данных связана со смартфонами и другими устройствами управления для продуктов IoT. Так, раскрыта информация об операционных системах устройств (iOS или Android).

Дальнейшее расследование специалистов по безопасности показало, что скомпрометированная база данных также связана с компанией LG-LED Solutions Limited, зарегистрированной в Калифорнии, и китайского производителя светильников для растений Spider Farmer. Многочисленные записи имели пометки типа «Mars-pro-iot-error» или «SF-iot-error», что предполагает связь с конкретными линейками продуктов.

Фаулер также обнаружил журналы ошибок, которые также могут содержать конфиденциальную информацию, включая токены, сведения о версиях приложений, данные о типах устройств и IP-адресах, а также учетные данные сетей Wi-Fi.

О своей находке Йеремия Фаулер оперативно уведомил компании LG-LED Solutions Limited и Mars Hydro. В результате база данных через несколько часов была защищена паролем. Если информация из нее попала в руки злоумышленников, то это может привести к неправомерному использованию данных, включая слежку за объектами и эксплуатацию открытых устройств IoT с целью создания DDoS-ботнетов.

Исследователи компании Palo Alto отмечают, что значительный процент IoT устройств (до 57%) потенциально уязвимы, при этом подавляющее большинство передаваемых данных (98%) не зашифрованы Чтобы минимизировать эти риски, производители устройств IoT и разработчики приложений должны уделять первостепенное внимание защите данных, избегать регистрации паролей в виде простого текста, использовать шифрование, защищать внутренние облачные хранилища, проводить регулярные проверки безопасности и тестирование на проникновение.

Источник: Hackread