Black Hat Europa atrage atenția că dispozitivele IoT pot fi utilizate pentru a sparge telefoanele inteligente pentru a fura informații din acestea. Un demo a prezentat dispozitive Belkin WeMo care pot fura imagini din telefoane, prin monitorizarea locației telefoanelor Android.
Contextul avertismentului este dat deoarece IoT a fost deja utilizat pentru a lansa cele mai mari atacuri DDoS lansate vreodată. Deficiențele de securitate testate pentru dispozitive Belkin WeMo precum comutatoare electrice, aparate de fotografiat, becuri, aparate de cafea, purificatoare de aer, etc au permis celor de la Invincea Labs nu numai să intre in aceste dispozitive, dar au putut să le și utilizeze pentru a lansa atacuri asupra unor telefoane Android care utilizează aplicația de control a dispozitivelor WeMo.
Experții spun că este prima dată când au văzut un dispozitiv IoT atacând alt dispozitiv. Pentru a efectua atacul, cercetătorii au atașat un laptop la aceeași rețea la care dispozitivul a fost conectat la WeMo. Ei au comunicat cu dispozitivul prin priza universală și au redat mesaje (UPnP), care sunt, în esență, cereri de web la anumite adrese URL de pe dispozitiv. O solicitare a fost trimisă pentru ca dispozitivul să își schimbe codul, înlocuindu-l cu un șir de cod care să permită atacul. Ca o demonstrație a ceea ce s-ar putea face un astfel de șir de cod, cercetătorii au descărcat toate imaginile de la camera telefonului la un server de la distanță.
De asemenea, au avut accesul la baliza de localizare a telefonului, astfel încât telefonul a acționat ca un tracker de geolocalizare. Acest șir de cod nu compromite întregul telefon, atacând doar serviciile la care aplicația WeMo are acces, adică telefonul, aparatul de fotografiat, stocarea și locația. Accesul la telefon poate fi permanent, chiar și atunci când aplicația rulează în fundal. Cei de la Belkin au anunțat ulterior că au remediat riscul de securitate.
Singurul mod de a opri atacul până la această rezolvare a fost închiderea forțată a aplicației, lucru pe care puțini utilizatori știu să îl facă. În final, cei de la Invincea Labs spun că au atacat dispozitivele Belkin WeMo prin rețeaua locală, dar atacuri pot fi posibile și prin rețeaua cloud a Belkin.
