CloudPets के 2 मिलियन संदेश स्मार्ट बच्चों के खिलौने नेटवर्क में प्रवाहित हुए

स्मार्ट उपकरणों के नए मॉडल हर दिन दिखाई देते हैं। आजकल, गैजेट्स न केवल घड़ियों, ट्रैकर्स या स्विच हैं। यहां तक ​​कि बच्चों के खिलौने भी होशियार हो रहे हैं। उदाहरण के लिए, CloudPets इंटरनेट से जुड़े खिलौनों का निर्माण करता है जो बच्चों और माता-पिता को ध्वनि संदेशों का आदान-प्रदान करने की अनुमति देता है। गेम सिस्टम को फोन या टैबलेट से पूर्व-स्थापित स्वामित्व एप्लिकेशन के साथ कनेक्ट करते समय सूचना को वायरलेस तरीके से प्रसारित किया जाता है। खिलौने के पैर को निचोड़ते हुए, बच्चा खिलौने को सक्रिय करता है और एक आवाज संदेश भेज सकता है जो स्मार्टफोन पर आता है। माता-पिता, बदले में, आवाज संदेश भेजने के लिए एक मोबाइल डिवाइस का उपयोग करते हैं। जैसे ही यह संदेश आता है, खिलौने में दिल के आकार की रोशनी चमकने लगती है। उस पर क्लिक करके, बच्चा माँ या पिताजी का संदेश सुन सकता है।

सिद्धांत काफी सरल है, इसलिए 3-7 साल की उम्र के बच्चे इस संचार प्रणाली का उपयोग कर सकते हैं। इसकी विशेषताओं के लिए धन्यवाद, CloudPets के खिलौने बहुत लोकप्रिय हो गए हैं। स्मार्ट भालू, गाय या सूअर के मालिकों के हजारों संदेश हर दिन कंपनी के सर्वर से गुजरते थे, और रिकॉर्ड क्लाउड में संग्रहीत किए जाते थे, अगर खिलौना का मालिक फिर से संदेशों को सुनना चाहता है। दुर्भाग्य से, डेवलपर्स ने घर पर संग्रहीत डेटा की सुरक्षा के बारे में बहुत अधिक ध्यान नहीं रखा। साइबर अपराधियों द्वारा सर्वर से समझौता किया गया था, जिन्होंने वॉयस मैसेज के साथ 800,000 से अधिक खातों से डेटा चुराया था।

घटना में, यह कंपनी को दोष देने के लायक है, क्योंकि उपयोगकर्ता खाते MongoDB डेटाबेस में संग्रहीत किए गए थे, जो पासवर्ड या फ़ायरवॉल द्वारा बंद नहीं किया गया था। वास्तव में, जानकारी स्पष्ट थी। नेटवर्क सुरक्षा विशेषज्ञों के अनुसार, हमलावरों ने शोडान खोज सेवा का उपयोग करके इस जानकारी की खोज की, जो आपको IoT उपकरणों, सेवाओं और नेटवर्क से जुड़ी साइटों और बाहरी हस्तक्षेप से संरक्षित नहीं करने की अनुमति देती है।

कंपनी के बचाव में, हम यह कह सकते हैं कि डेटाबेस में bcrypt का उपयोग करके जानकारी एन्क्रिप्ट की गई थी। लेकिन अधिकांश उपयोगकर्ता पासवर्ड इतने सरल थे कि हमलावरों ने उन्हें बिना किसी कठिनाई के फटा। हम उनके डेटा के संरक्षण के स्तर के बारे में बात कर रहे हैं जैसे कि "12345"।



जैसा कि यह पता चला, हमलावरों ने अपने हाथों को एक से अधिक बार डेटाबेस में रखा, लेकिन कम से कम दो बार। इसके अलावा, सूचना सुरक्षा विशेषज्ञों ने भी इसका अध्ययन किया। वैसे, हमलावर प्रायः MongoDB डेटाबेस की तलाश करते हैं ताकि उनमें संग्रहीत उपयोगकर्ता जानकारी के बजाय दुर्भावनापूर्ण सॉफ़्टवेयर को इंजेक्ट किया जा सके। जो हुआ उस पर किसी को आश्चर्य नहीं होना चाहिए: हर समय विशेषज्ञों का कहना है कि IoT डिवाइस निर्माता अपने उत्पादों की कार्यक्षमता और डिजाइन पर बहुत ध्यान देते हैं, लेकिन किसी कारण से वे बाहरी हस्तक्षेप से अपनी सेवाओं और साइटों की सुरक्षा के बारे में चिंतित नहीं हैं।

हैकिंग की जांच में शामिल विशेषज्ञों में से एक का कहना है कि स्मार्ट खिलौनों के उपयोगकर्ताओं के डेटा को साझा करने के लिए, क्लाउड सेवाओं के डेवलपर्स से कुछ छोटी-छोटी त्रुटियां, जिनके लिए ऐसे खिलौने कनेक्ट होते हैं, पर्याप्त हैं। ठीक है, और यदि आपको सुरक्षा की चिंता बिल्कुल नहीं करनी है, तो आपको कुछ भी अच्छा करने की उम्मीद नहीं करनी चाहिए।

न केवल CloudPets को उपयोगकर्ता की जानकारी की सुरक्षा में समस्याएँ हैं। दो साल पहले, इसी तरह की स्थिति एक अन्य खिलौना निर्माता, वीटेक के उपयोगकर्ताओं के डेटा के साथ हुई थी। फिर ई-मेल, जन्म तिथि आदि सहित नेटवर्क में 4.8 मिलियन से अधिक रिकॉर्ड लीक हो गए, VTech के पास सामान्य रूप से स्पष्ट रूप से संग्रहीत कुछ डेटा थे, इसलिए हैकिंग केवल कुछ समय के लिए थी। CloudPets के रूप में, यहां साइबर अपराधियों ने 821,396 उपयोगकर्ताओं, 371,970 कनेक्टेड खातों और 2 मिलियन से अधिक वॉयस संदेशों का खाता डेटा प्राप्त किया।

वॉइस मैसेजिंग के साथ, स्थिति डेटाबेस से थोड़ी अलग है। ऑडियो रिकॉर्डिंग्स को हैक किए गए डेटाबेस में संग्रहीत नहीं किया गया था। इसके बजाय, कंपनी ने उन्हें अमेज़ॅन एस 3 सर्वरों पर होस्ट किया, जिसमें पहुंच प्राप्त करने के लिए कोई प्रमाणीकरण आवश्यक नहीं था। संदेशों को सुनने के लिए, आपको केवल फ़ाइल का URL चाहिए। लेकिन ऑडियो के लिंक हैक किए गए डेटाबेस के खातों में संग्रहीत किए गए थे। खाते हैक करते समय, हमलावर सभी संग्रहीत डेटा प्राप्त करते हैं, जिसमें उपयोगकर्ता द्वारा भेजे गए या प्राप्त सभी संदेशों का URL भी शामिल है।

सबसे बुरी बात यह है कि पिछले साल दिसंबर में कंपनी के सर्वरों के साथ समझौता किया गया था, लेकिन खिलौना निर्माता ने अभी भी समस्या के उपयोगकर्ताओं को सूचित नहीं किया है। कुछ साइबर सुरक्षा विशेषज्ञों ने CloudPets के प्रतिनिधियों से संपर्क करने की कोशिश की, लेकिन कोई प्रतिक्रिया नहीं आई। नतीजतन, 12 जनवरी को, डेटाबेस को अगले हमलावरों द्वारा मिटा दिया गया था जो कि MongoDB सर्वर को असुरक्षित देख रहे थे।


“मैंने ईमेल, लिंक्डिन, ज़ेंडस्क और ट्विटर के माध्यम से संपर्क करने की कोशिश की। मैंने निजी ईमेल पते का उपयोग करके लोगों से संपर्क करने की भी कोशिश की। कोई जवाब नहीं है, “गैर-लाभकारी GDI फाउंडेशन के अध्यक्ष विक्टर गेवर्स कहते हैं, जो हैकिंग के मामलों की जांच करता है।

अब हैकिंग के बारे में जाना जाने लगा और माता-पिता, जिन्होंने अपने बच्चों को CloudPets से स्मार्ट खिलौने खरीदे, को चिंता होने लगी। “मेरी सबसे बुरी आशंका यह है कि कोई मेरी छह वर्षीय बेटी को संदेश भेजने के लिए इस जानकारी का उपयोग कर सकता है। मेरे माता-पिता निश्चित रूप से अपनी पोती को इस तरह से संदेश नहीं भेजेंगे, ”जेसन पगेल ने एक सेमिनार में भाग लिया, जिस पर साइबर स्पेस के विशेषज्ञों ने CloudPets सर्वर से डेटा रिसाव पर एक रिपोर्ट के साथ बात की।

कंपनी के प्रतिनिधि, बारी-बारी से तर्क देते हैं कि ऐसा कोई सबूत नहीं है कि पटाखे उपयोगकर्ता खाते की जानकारी प्राप्त करते हैं। हालाँकि, CloudPets सभी उपयोगकर्ताओं के लिए सुरक्षा उपाय के रूप में पासवर्ड रीसेट करने जा रहा है।