Відеокамери дверних дзвінків стали доступними для продажу за 30–40 доларів США на таких ринках, як Amazon, Walmart, Temu та Shein. Однак справжня вартість володіння ним може бути набагато вищою.
Consumer Reports (CR) оприлюднив результати розслідування безпеки двох бюджетних брендів дверних дзвінків, Eken і Tuck, які, як повідомляє CR, здебільшого є однаковим обладнанням, виробленим Eken Group у Китаї. Далі камери перепродуються принаймні під ще 10 брендами. Камери налаштовуються через загальний мобільний додаток Aiwit. CR стверджує, що у камер є ще дещо: «тривожні вразливості безпеки».
Серед вразливостей камери, наведених CR:
- Надсилання загальнодоступних IP-адрес і SSID (імен) Wi-Fi через Інтернет без шифрування
- Заволодіння камерами шляхом переведення їх у режим сполучення (це можна зробити за допомогою кнопки на передній панелі на деяких моделях) і підключення через додаток Aiwit
- Доступ до нерухомих зображень із відеоканалу та іншої інформації, знаючи серійний номер камери.
CR також зазначив, що камери Eken не мали реєстраційного коду FCC. За даними CR, у січні 2024 року було продано понад 4200 екземплярів, які часто мали мітку Amazon «Overall Pick» (як це робила одна модель, коли автор Ars дивився в середу).
«Ці відеодверні дзвінки від маловідомих виробників мають серйозну вразливість у безпеці та конфіденційності, і тепер вони знайшли свій шлях до великих цифрових ринків, таких як Amazon і Walmart», — сказав Джастін Брукман, директор із технічної політики компанії Consumer Reports у заяві: «Як виробники, так і платформи, які продають дверні дзвінки, несуть відповідальність за те, щоб ці продукти не завдавали шкоди споживачам».
Оголошення
CR зазначив, що зв’язався з продавцями, де знайшов дверні дзвінки для продажу. Temu повідомила CR, що припинить продажі дверних дзвінків, але «на сайті залишилися схожі, якщо не ідентичні, дверні дзвінки», – зазначив CR.
Представник Walmart повідомив Ars, що всі камери, згадані в Consumer Reports, продані третіми сторонами, вже видалені з Walmart. Представник додав, що клієнти можуть мати право на відшкодування, і Walmart забороняє продавати пристрої, для яких потрібен ідентифікатор FCC, але його немає.
Ars зв’язався з Amazon, щоб отримати коментар, і оновить цю публікацію новою інформацією. Електронний лист, надісланий на єдину адресу, яку можна було знайти на веб-сайті Eken, повернувся недоставленим. Акаунти компанії в соціальних мережах востаннє оновлювалися принаймні три роки тому.
CR надав Eken і Tuck повідомлення про вразливості щодо своїх висновків. У розкриттях зазначено обсяг даних, які надсилаються через мережу без автентифікації, включаючи файли JPEG, локальний SSID і зовнішню IP-адресу. Зазначається, що після того, як зловмисник повторно поєднав дверний дзвінок із QR-кодом, згенерованим додатком Aiwit, він отримує повний контроль над пристроєм, доки користувач не побачить електронний лист від Eken і не поверне дверний дзвінок.
За кількома винятками, відеодверні дзвінки та інші камери Інтернету речей, як правило, покладаються на хмарні з’єднання для потокової передачі та зберігання відзнятих матеріалів, а також для сповіщення своїх власників про події. Це призвело до деяких помітних проблем із конфіденційністю та безпекою. Наприкінці 2019 року виявилося, що дверні дзвінки Ring надсилають облікові дані Wi-Fi у вигляді відкритого тексту. Eufy, компанія, яка продала свої пропозиції «No clouds», виявилася, що завантажувала мініатюри облич на хмарні сервери для надсилання push-сповіщень, а пізніше вибачилася за це. та інші вразливості. Постачальник камер Wyze нещодавно повідомив, що вдруге за п’ять місяців зображення та відео були випадково доступні не тим клієнтам після тривалого збою.
Зображення списку Amazon/Eken
