© Cibum. Απαγορεύεται η ολική ή μερική αναπαραγωγή, αναδημοσίευση, διασκευή ή άλλη χρήση του περιεχομένου και του φωτογραφικού υλικού. Κάθε παράβαση επισύρει τις προβλεπόμενες από την κείμενη νομοθεσία αστικές και ποινικές κυρώσεις.
Η πρόσφατη κυβερνοεπίθεση στα ψυγεία 350 γαλλικών σούπερ μάρκετ, δημιουργεί ερωτήματα για την ασφάλεια των έξυπνων οικιακών συσκευών. Φούρνοι, φριτέζες αέρος και πολυμάγειρες που συνδέονται στο διαδίκτυο διαθέτουν δυνατότητες απομακρυσμένου χειρισμού, οι οποίες ενδέχεται να αξιοποιηθούν από επιτιθέμενους. Δημοσιευμένες έρευνες κυβερνοασφάλειας έχουν εντοπίσει ευπάθειες σε συγκεκριμένα μοντέλα, επιτρέποντας υπό προϋποθέσεις μη εξουσιοδοτημένη παρέμβαση στις λειτουργίες μαγειρέματος, ακόμη και στην ενεργοποίηση συσκευών.
ΔΕΙΤΕ ΕΠΙΣΗΣ | Lidl: Επείγουσα ανάκληση παγωτού λόγω λιστέρια – Γιατί το επικίνδυνο βακτήριο παραμένει στα εργοστάσια παραγωγής
Εκατοντάδες γαλλικά καταστήματα επηρεάστηκαν από την επίθεση που άλλαξε τις θερμοκρασίες επαγγελματικών ψυγείων, προκαλώντας αλλοίωση τροφίμων. Το πρόβλημα συνδέθηκε με λογισμικό ελέγχου της δανέζικης εταιρείας Dafnoss, το οποίο χρησιμοποιείται για την παρακολούθηση και τη διαχείριση επαγγελματικών εγκαταστάσεων ψύξης. Η παραβίαση επέτρεψε την επέμβαση σε λειτουργικές παραμέτρους, με αποτέλεσμα προϊόντα που απαιτούσαν χαμηλές θερμοκρασίες να καταστούν ακατάλληλα για κατανάλωση. Οι οικονομικές απώλειες εκτιμήθηκαν σε εκατομμύρια ευρώ, ενώ ειδικοί επισήμαναν τις αδυναμίες παλαιότερων συστημάτων διαχείρισης. Η υπόθεση αφορά εξοπλισμό ψύξης, ωστόσο η δυνατότητα ψηφιακής επέμβασης σε φυσικές διεργασίες παρουσιάζει τεχνικές ομοιότητες με τις συνδεδεμένες οικιακές συσκευές θέρμανσης και μαγειρέματος.
Οι έξυπνες συσκευές μαγειρέματος χρησιμοποιούν ενσωματωμένους επεξεργαστές, λογισμικό ελέγχου και εφαρμογές κινητών τηλεφώνων για τη ρύθμιση θερμοκρασίας, διάρκειας λειτουργίας και προγραμμάτων παρασκευής τροφίμων. Η επικοινωνία πραγματοποιείται συνήθως μέσω Wi-Fi ή Bluetooth, ενώ ορισμένα προϊόντα υποστηρίζουν απομακρυσμένες εντολές μέσω διαδικτυακών υπηρεσιών του κατασκευαστή. Η ασφάλεια εξαρτάται από την προστασία αυτών των διαύλων επικοινωνίας, την επαλήθευση των εντολών και την απομόνωση κρίσιμων λειτουργιών από μη εξουσιοδοτημένη πρόσβαση.
Μία από τις σημαντικότερες τεκμηριωμένες περιπτώσεις δημοσιοποιήθηκε τον Απρίλιο του 2021 από τη Cisco Talos, ερευνητική ομάδα κυβερνοασφάλειας της Cisco. Οι ειδικοί εξέτασαν τη συνδεδεμένη φριτέζα αέρος Cosori Smart 5.8-Quart Air Fryer CS158-AF και ανακάλυψαν δύο ευπάθειες εκτέλεσης κακόβουλου κώδικα. Τα προβλήματα επέτρεπαν, υπό συγκεκριμένες συνθήκες, την αποστολή ειδικά διαμορφωμένων δεδομένων με στόχο την παραβίαση της συσκευής.
Η τεχνική ανάλυση της Cisco Talos ανέφερε ότι μία κυβερνοεπίθεση μπορούσε δυνητικά να οδηγήσει σε αλλαγές θερμοκρασίας, τροποποίηση χρόνου μαγειρέματος ή ενεργοποίηση της φριτέζας χωρίς τη γνώση του ιδιοκτήτη. Μετά την έκθεση η Cosori διέθεσε διορθωτική ενημέρωση τον Απρίλιο του 2021.
Ακόμη πιο χαρακτηριστική ήταν η επίθεση στην έξυπνη καφετιέρα Smarter Coffee, την οποία πραγματοποίησε πειραματικά το 2020 ο ερευνητής Martin Hron της Avast. Αξιοποιώντας ευπάθεια στο λογισμικό της συσκευής, εγκατέστησε κακόβουλο firmware και απέκτησε έλεγχο των λειτουργιών της. Η καφετιέρα ενεργοποιούσε συνεχώς τον μύλο άλεσης και τα θερμαντικά στοιχεία, παρήγαγε ήχους και εμφάνιζε μήνυμα απαίτησης λύτρων. Η επίθεση σταματούσε μόνο με αποσύνδεση από το ηλεκτρικό ρεύμα.
Διαφορετικό πρόβλημα εντοπίστηκε σε συνδεδεμένες ηλεκτρικές κουζίνες AGA iTotal Control, τους οποίους εξέτασε η βρετανική εταιρεία κυβερνοασφάλειας Pen Test Partners. Σύμφωνα με δημοσίευμα του BleepingComputer, οι συσκευές υποστήριζαν απομακρυσμένο χειρισμό μέσω μηνυμάτων SMS που αποστέλλονταν σε μονάδα επικοινωνίας GSM. Οι ερευνητές διαπίστωσαν ανεπαρκή επαλήθευση των εντολών, με αποτέλεσμα τρίτοι να μπορούν δυνητικά να ενεργοποιήσουν ή να απενεργοποιήσουν τον φούρνο χωρίς εξουσιοδότηση.
Η παραβίαση του συστήματος AGA δεν απαιτούσε απαραίτητα πρόσβαση στο οικιακό Wi-Fi, καθώς η επικοινωνία πραγματοποιούνταν μέσω δικτύου κινητής τηλεφωνίας. Οι ερευνητές εντόπισαν επίσης αδυναμίες στη διαδικτυακή εφαρμογή διαχείρισης, συμπεριλαμβανομένης της ανεπαρκούς προστασίας δεδομένων κατά τη μεταφορά τους. Η περίπτωση έδειξε ότι ακόμη και μια απλή λειτουργία απομακρυσμένου χειρισμού μπορεί να δημιουργήσει σοβαρά προβλήματα ασφάλειας όταν οι εισερχόμενες εντολές δεν ελέγχονται επαρκώς.
Πέρα από την παρέμβαση στις λειτουργίες μαγειρέματος, οι συνδεδεμένες συσκευές δημιουργούν ζητήματα προστασίας προσωπικών δεδομένων. Τον Νοέμβριο του 2024, η βρετανική οργάνωση καταναλωτών Which? δημοσίευσε έρευνα για έξυπνες φριτέζες αέρος των Xiaomi, Cosori και Aigostar. Οι εφαρμογές των συσκευών ζητούσαν πρόσβαση στην ακριβή γεωγραφική θέση και άδεια χρήσης του μικροφώνου των κινητών τηλεφώνων, ενώ καταγράφηκαν επικοινωνίες με υπηρεσίες ανάλυσης δεδομένων και διαφημιστικά δίκτυα. Στην περίπτωση της Xiaomi, η Which? εντόπισε συνδέσεις με συστήματα παρακολούθησης των Facebook, Pangle και Tencent, καθώς και μεταφορά ορισμένων πληροφοριών προς διακομιστές στην Κίνα.
Το σοβαρότερο ενδεχόμενο για μια παραβιασμένη συσκευή μαγειρέματος είναι η πρόκληση υψηλών θερμοκρασιών μέσω μη εξουσιοδοτημένων εντολών. Εάν ο επιτιθέμενος αποκτήσει κατάλληλα δικαιώματα, ενδέχεται να μπορεί να μεταβάλει τον χρόνο λειτουργίας ή να εκκινήσει πρόγραμμα χωρίς την παρουσία του ιδιοκτήτη. Η ύπαρξη εύφλεκτων υλικών κοντά στη συσκευή, σε συνδυασμό με ανεπαρκή επιτήρηση ή αστοχίες προστασίας, θα μπορούσε να αυξήσει την πιθανότητα εκδήλωσης πυρκαγιάς.
Μια παραβιασμένη συσκευή μπορεί επίσης να χρησιμοποιηθεί για περαιτέρω επιθέσεις στο οικιακό δίκτυο. Εάν βρίσκεται στο ίδιο τοπικό δίκτυο με υπολογιστές, κινητά τηλέφωνα ή συστήματα αποθήκευσης, ο επιτιθέμενος ενδέχεται να επιχειρήσει επικοινωνία μαζί τους και αναζήτηση πρόσθετων ευπαθειών. Η πρόσβαση σε μία συσκευή δεν εξασφαλίζει αυτομάτως έλεγχο των υπολοίπων, ωστόσο η απουσία κατάλληλου διαχωρισμού μπορεί να διευκολύνει την επέκταση μιας επίθεσης.
Οι ευρωπαϊκές τεχνικές προδιαγραφές προβλέπουν συγκεκριμένες πρακτικές προστασίας για συνδεδεμένα καταναλωτικά προϊόντα. Το πρότυπο ETSI EN 303 645 περιλαμβάνει συστάσεις για ασφαλή αποθήκευση δεδομένων, διαχείριση ευπαθειών, ενημερώσεις λογισμικού και προστασία των διαύλων επικοινωνίας. Ο Ευρωπαϊκός Οργανισμός Κυβερνοασφάλειας, ENISA, παρέχει επίσης οδηγίες για την ασφάλεια του Διαδικτύου των Πραγμάτων, δίνοντας έμφαση στην προστασία των συνδεδεμένων συσκευών και στην αντιμετώπιση γνωστών αδυναμιών.
Για την προστασία των έξυπνων συσκευών μαγειρέματος, οι χρήστες χρειάζεται να:
- εγκαθιστούν τις διαθέσιμες ενημερώσεις ασφαλείας,
- να χρησιμοποιούν μοναδικούς και ισχυρούς κωδικούς
- να ενεργοποιούν έλεγχο ταυτότητας δύο παραγόντων όπου υποστηρίζεται
- να γίνεται σύνδεση των συσκευών σε ξεχωριστό δίκτυο Wi-Fi,
- να απενεργοποιούνται περιττές λειτουργίες απομακρυσμένης πρόσβασης και
- να γίνεται τακτικός έλεγχος των δικαιωμάτων που ζητούν οι συνοδευτικές εφαρμογές κινητών τηλεφώνων.
Ιδιαίτερη προσοχή απαιτείται όταν μια συσκευή υποστηρίζει απομακρυσμένη ενεργοποίηση της θέρμανσης. Οι χρήστες πρέπει να ακολουθούν τις οδηγίες του κατασκευαστή, να απομακρύνουν εύφλεκτα αντικείμενα και να αποφεύγουν τη λειτουργία χωρίς την προβλεπόμενη επιτήρηση. Πριν από την αγορά, είναι χρήσιμο να ελέγχουν τη διάρκεια υποστήριξης λογισμικού, τη δυνατότητα απενεργοποίησης της σύνδεσης στο διαδίκτυο και την ύπαρξη ανεξάρτητων μηχανισμών προστασίας από υπερθέρμανση.
