کشف آسیب‌پذیری امنیتی در اسباب‌بازی‌های هوشمند کودکان

این آسیب‌پذیری به هکرها اجازه می‌دهد تا سیستم ربات را برای چت تصویری با کودکان بدون رضایت والدین کنترل کنند. نه تنها این، بلکه خطرات مرتبط با کاربرد این سیستم ربات، خطرات دیگری را نیز ایجاد می‌کند، مانند اطلاعات شخصی کودکان از جمله نام، جنسیت، سن و حتی موقعیت جغرافیایی که می‌تواند به سرقت برود.

Phát hiện lỗ hổng bảo mật trong đồ chơi thông minh của trẻ nhỏ- Ảnh 1. — اسباب‌بازی‌های هوشمند می‌توانند هدف حملات هکرها قرار گیرند

این یک ربات اسباب‌بازی کودکانه با سیستم عامل اندروید است که به دوربین و میکروفون مجهز شده و از هوش مصنوعی برای تشخیص و نامگذاری کودکان، تنظیم خودکار پاسخ‌ها بر اساس خلق و خوی کودک و به مرور زمان، شناخت کودک استفاده می‌کند. برای بهره‌برداری کامل از ویژگی‌های ربات، والدین باید یک برنامه کنترل را در دستگاه‌های تلفن همراه خود دانلود کنند. این برنامه به والدین اجازه می‌دهد تا روند یادگیری فرزند خود را نظارت کنند و حتی از طریق ربات با کودک تماس ویدیویی برقرار کنند.

در طول مرحله راه‌اندازی، به والدین دستور داده می‌شود که ربات را از طریق وای‌فای به دستگاه تلفن همراه خود متصل کنند و پس از آن نام و سن کودک را به دستگاه ارائه دهند. با این حال، کارشناسان کسپرسکی یک مشکل امنیتی نگران‌کننده را کشف کردند: رابط برنامه‌نویسی کاربردی (API) که اطلاعات کودک را درخواست می‌کند، فاقد ویژگی احراز هویت است، در حالی که این یک بررسی مهم برای تأیید اینکه چه کسی مجاز به دسترسی به منابع شبکه کاربر است، می‌باشد.

این امر خطری را ایجاد می‌کند که مجرمان سایبری می‌توانند با رهگیری و تجزیه و تحلیل فرکانس دسترسی به شبکه، طیف گسترده‌ای از داده‌ها، از جمله نام، سن، جنسیت، کشورهای محل اقامت و حتی آدرس‌های IP کودکان را رهگیری و سرقت کنند.

این آسیب‌پذیری به مهاجم اجازه می‌دهد تا یک تماس ویدیویی زنده با کودک برقرار کند و کاملاً رضایت حساب والدین را دور بزند. اگر کودک تماس را بپذیرد، مهاجم می‌تواند مخفیانه و بدون اجازه والدین با کودک تبادل اطلاعات کند. در این حالت، مهاجم می‌تواند کودک را دستکاری کند ، او را از خانه بیرون بکشد یا کودک را به انجام اقدامات خطرناک هدایت کند.

علاوه بر این، مشکلات امنیتی برنامه روی دستگاه تلفن همراه والدین می‌تواند به مهاجم اجازه دهد تا از راه دور ربات را کنترل کرده و به شبکه دسترسی غیرمجاز پیدا کند. با استفاده از روش‌های جستجوی فراگیر برای بازیابی رمز عبور OTP و ویژگی تلاش ناموفق نامحدود برای ورود، مهاجم می‌تواند از راه دور ربات را به حساب خود متصل کند و در نتیجه کنترل صاحب دستگاه را غیرفعال کند.

نیکولای فرولوف، محقق ارشد امنیتی در Kaspersky ICS CERT، اظهار داشت: «هنگام خرید اسباب‌بازی‌های هوشمند، مهم است که نه تنها ارزش سرگرمی و آموزشی آنها، بلکه ویژگی‌های ایمنی و امنیتی آنها را نیز در نظر بگیرید. در حالی که یک تصور عمومی وجود دارد که قیمت بالاتر به معنای امنیت بهتر است، توجه به این نکته مهم است که حتی گران‌ترین اسباب‌بازی‌های هوشمند نیز کاملاً در برابر آسیب‌پذیری‌هایی که مهاجمان می‌توانند از آنها سوءاستفاده کنند، مصون نیستند. بنابراین، والدین باید با دقت نظرات مربوط به اسباب‌بازی‌ها را بخوانند، همیشه دستگاه‌های هوشمند را به آخرین نسخه‌ها به‌روزرسانی کنند و فعالیت‌های بازی فرزندان خود را از نزدیک زیر نظر داشته باشند.»

لینک منبع