FBI: „mogą hackować wasze telewizory”. Zaklejajcie kamery, wyłączajcie mikrofony, łatajcie…

Dość nietypowe ostrzeżenie można przeczytać w tym miejscu. Nieco w kontekście Black Friday, FBI ostrzega użytkowników o możliwości hackowania telewizorów:

Hackers can also take control of your unsecured TV. At the low end of the risk spectrum, they can change channels, play with the volume, and show your kids inappropriate videos. In a worst-case scenario, they can turn on your bedroom TV’s camera and microphone and silently cyberstalk you.

Pojawiają się też zalecenia („TVs and technology are a big part of our lives, and they aren’t going away. So how can you protect your family?”):

• Zmień domyślne ustawienia bezpieczeństwa (w tym hasło); wyłącz mikrofon
• Wyłącz kamerę lub zaklej ją czarną taśmą
• Instaluj aktualizacje
• Sprawdź jakie dane udostępniasz producentowi (polityka prywatności)

Czy rzeczywiście telewizory są tak dużym zagrożeniem? Urządzenia te mamy w domu i nikt nie podejrzewa, że mogą nas szpiegować czy być obiektem ataku. Znane są skuteczne metody zupełnie zdalnego przejmowania dostępu do telewizorów (dostęp root) – choćby wstrzykiwaniem  sygnału HbbTV (tu np. zdalnie uzyskany root na telewizorze Samsunga):

Są też mocno zaskakujące ataki lokalne – oto jak można przykładowo zdobyć roota na telewizorze, korzystając z … pilota:

Jest też i ransomware na telewizory:

Istotne podatności nie tak rzadko są okrywane nawet u znanych producentów. Sony Bravia:

(…) application handles file names incorrectly when the user uploads a media file. An attacker can abuse such filename mishandling to run arbitrary commands on the system, which can result in complete remote code execution with root privilege.

U tego samego producenta:

The first vulnerability allows an attacker – without authentication from the LAN/Wi-Fi – to retrieve the static Wi-Fi password created by the television when the Photo Sharing Plus application is started. The second vulnerability allows an attacker to read arbitrary files located in the TV without authentication including valuable files.

Jakiś czas temu pojawiły się doniesienia o posiadaniu przez CIA narzędzi (kryptonim Weeping Angel) właśnie do infekowania smart TV:

The increasing sophistication of surveillance techniques has drawn comparisons with George Orwell’s 1984, but “Weeping Angel”, developed by the CIA’s Embedded Devices Branch (EDB), which infests smart TVs, transforming them into covert microphones, is surely its most emblematic realization.

Czy w takim razie jest się czego bać? Zależy to od poziomu paranoi konkretnego użytkownika…

–ms