Nöbetçi Eczaneler
Üstelik bu açık, hackerların karmaşık yazılımlar kullanmasını bile gerektirmedi; adeta evlerin kapısı ardına kadar açık bırakıldı.
İşte milyonlarca aileyi ve çocuk odasını savunmasız bırakan skandalın sarsıcı detayları:
300’den Fazla Marka Aynı “Arka Kapıyı” Kullanıyor
Tüketiciler Amazon, Trendyol veya Hepsiburada gibi pazar yerlerinden Arenti, Boifun, ieGeek gibi yüzlerce farklı marka altında bu kameraları satın alıyor. Ancak madalyonun arkası çok farklı:
Bu markaların neredeyse tamamı, Çin merkezli Meari Technology firmasının donanımını, mobil uygulamasını ve bulut (cloud) altyapısını kullanıyor. Meari’nin ortak altyapısındaki tek bir sistem hatası, 118 ülkede aktif olarak kullanılan yaklaşık 1,1 milyon kamerayı aynı anda siber saldırganlara yem etti.
Hacklenmedi, Zaten Şifrelenmedi! (Teknik Detaylar)
Araştırmacı Sammy Azdoufal’ın raporuna göre olay klasik bir siber saldırı değil, üretici firmanın inanılmaz bir ihmali. Kameraların izlenmesini sağlayan açıklar şöyle sıralandı: Android ve iOS uygulamalarının kodlarının içine, tüm cihazlarda ortak çalışan sabit (hardcoded) şifreleme anahtarları gömülmüş. Bu anahtarı uygulamadan söken herkes, tüm kameralara erişim hakkı kazandı. Cihazların veri iletmek için kullandığı sunucu protokolünde (MQTT) cihaz bazlı bir erişim kısıtlaması yapılmadığı anlaşıldı. Herhangi bir ücretsiz bulut hesabı açan kişi, sisteme sızıp dakikalar içinde binlerce kameranın canlı sinyaline ve konum bilgilerine abone olabildi. Kameraların hareket algıladığında aldığı ve buluta yüklediği anlık bebek fotoğraflarının, internet üzerinde şifresiz ve herkesin erişebileceği URL linklerinde sonsuza kadar saklandığı ortaya çıktı.
Şirket Suçunu Kabul Etti: 24 Bin Euro Ödedi
Azdoufal, açığı ilk fark ettiğinde Meari Technology yetkililerinin kendisini görmezden geldiğini, ancak şirketin iç sunucularındaki tüm personel verilerinin de sızdırılabileceğini kanıtladıktan sonra dönüm noktası yaşandığını belirtti.Meari ekibi açığı kabul ederek sistemleri geçici olarak kapattı ve siber güvenlik araştırmacısına 24.000 Euro (yaklaşık 45.000 Avustralya doları) “hata ödülü” (bug bounty) verdi. Şirket sunucu tarafındaki açıkları yamaladığını iddia etse de, geçmişe dönük olarak bu görüntülerin kimler tarafından dikizlendiği veya veritabanlarının kopyalanıp kopyalanmadığı bilinmiyor.