Il numero dei dispositivi IoT è aumentato in maniera esponenziale, quindi sarebbe necessaria una maggiore attenzione per la sicurezza. Invece alcuni produttori di elettrodomestici sembrano trascurare i pericoli derivanti dall’uso dei loro gadget collegati ad Internet, come dimostra l’esperimento effettuato da un ricercatore di Avast. È infatti possibile eseguire un attacco ransomware contro una macchina del caffè venduta da Smarter negli Stati Uniti.
Dopo aver collegato la sua macchina del caffè, il ricercatore di sicurezza Martin Hron ha scoperto che funzionava come access point WiFi, la cui connessione non cifrata viene utilizzata per la configurazione del dispositivo tramite app per smartphone. Successivamente ha scoperto che la stessa app viene sfruttata per aggiornare il firmware, ma gli update sono inviati alla macchina senza crittografia, senza autenticazione e senza firma del codice. Insomma un vero e proprio disastro per la sicurezza.
Il ricercatore ha quindi effettuato il reverse engineering del firmware (memorizzato nell’app Android) per individuare le singole funzionalità, tra cui quella che consente di installare gli aggiornamenti. Dopo aver scritto uno script python che simula la procedura di update e aggiunto alcune righe di codice al firmware, il ricercatore ha effettuato un attacco ransomware. Come si può vedere nel video, la macchina del caffè è impazzita:
Se un malintenzionato riesce a scoprire l’identificatore SSID usato dal dispositivo è possibile eseguire vari tipi di attacco, non solo contro la macchina del caffè, ma anche contro tutti gli altri device connessi alla stessa rete WiFi (router, computer e altri elettrodomestici smart).
L’esperimento del ricercatore evidenzia ancora una volta la scarsa attenzione per la sicurezza da parte dei produttori. Un dispositivo IoT (ad esempio un forno o un frigorifero) può durare parecchi anni, ma ad un certo punto non riceverà più aggiornamenti, diventando così una delle porte di ingresso per attacchi informatici di vario tipo. In questi casi, l’unica soluzione è scollegare il dispositivo da Internet.