S rostoucím počtem chytrých spotřebičů přibývají vstupní brány pro hackery. Které spotřebiče a zařízení mohou ovládnout na dálku?

Dětská chůvička, která dovolí cizímu člověku promluvit na dítě, kamera prozrazující, kdy rodina odchází z domu, nebo napadený zámek ovládaný mobilním telefonem. S rostoucím počtem chytrých spotřebičů přibývají v domácnostech také možné vstupní brány pro útočníky. Riziko přitom nezávisí pouze na tom, zda přístroj obsahuje kameru nebo mikrofon. I zdánlivě obyčejná zásuvka, termostat či trouba mohou sbírat informace o každodenním režimu a v případě nedostatečného zabezpečení umožnit ovládání některých funkcí na dálku.

Chytré spotřebiče dnes propojují domácnost s mobilním telefonem i cloudovými službami výrobce. Uživatel může na dálku zkontrolovat dítě, spustit vysavač, otevřít garáž nebo změnit teplotu. Stejné připojení však může představovat cestu pro útočníka, pokud výrobce podcení zabezpečení, aplikace obsahuje chybu nebo zařízení přestane dostávat aktualizace.

„Spotřebitelé často vnímají robotický vysavač nebo dětskou chůvičku pořád především jako spotřebič. Z pohledu kybernetické bezpečnosti je to ale počítač vybavený senzory, připojením k internetu a někdy také kamerou nebo mikrofonem. Pokud výrobce zabezpečení podcení, případně přestane zařízení aktualizovat, může se z praktického pomocníka stát slabé místo celé domácí sítě,“ upozorňuje Ondřej Ševeček z Počítačové školy GOPAS.

Vysavač zná půdorys celého bytu

Robotické vysavače si vytvářejí mapu domácnosti, rozpoznávají jednotlivé místnosti a ukládají historii úklidu. Z nastavených plánů lze navíc nepřímo odvodit, kdy rodina bývá doma a kdy je byt obvykle prázdný. Některé přístroje jsou vybavené také kamerou nebo mikrofonem.

Možné následky bezpečnostní chyby ukázal případ robotických vysavačů DJI Romo. Bezpečnostní výzkumník při úpravě vlastního přístroje zjistil, že získal přístup přibližně k sedmi tisícům vysavačů ve 24 zemích. Podle zveřejněných informací bylo možné pracovat s mapami domácností, polohou zařízení i živým obrazem a zvukem. Výrobce následně uvedl, že nedostatek odstranil.

Chůvička může pustit cizího člověka do dětského pokoje

„Dětské chůvičky přenášejí obraz a zvuk z jedné z nejcitlivějších částí domácnosti. Pokud je zařízení špatně zabezpečené, může útočník dítě sledovat, poslouchat dění v pokoji nebo prostřednictvím reproduktoru dokonce promluvit. Rizikem mohou být slabá výchozí hesla, zastaralý software i nedostatečně chráněný uživatelský účet,“ říká Martin Chalupníček ze společnosti Kärcher .

Podobně citlivé informace zachycují chytré kamery a videotelefony. Z jejich záznamů lze poznat, kdo se pohybuje před domem, kdy jeho obyvatelé odcházejí a zda se už vrátili. Napadené zařízení tak nemusí znamenat pouze zásah do soukromí, ale také zdroj informací využitelných při plánování krádeže.

Televize pozná, co rodina sleduje

Chytrý televizor může zaznamenávat používané aplikace, sledované služby i dobu, kdy ho členové domácnosti zapínají. Přístroje s hlasovým ovládáním přijímají také hlasové příkazy a bývají propojené s uživatelskými účty. Útočník se proto nemusí zajímat jen o samotnou televizi, ale také o přihlašovací údaje nebo další služby napojené na stejný účet.

„Jednotlivý údaj nemusí působit citlivě. Teprve jejich propojením ale zjistíme, kdy lidé vstávají, kdy odcházejí, jaké místnosti používají nebo zda jsou právě doma. Proto je podstatné nejen to, jaké senzory výrobek obsahuje, ale také zda lze některé funkce vypnout, kde jsou data uložená a kdo k nim může získat přístup,“ vysvětluje Ondřej Ševeček.

Terčem mohou být zámky i garážová vrata

Závažnější následky může mít napadení chytrého zámku nebo garážových vrat. Nedostatečně zabezpečený účet, chyba v aplikaci či uniklé přihlašovací údaje mohou teoreticky umožnit jejich ovládání na dálku. Informace o používání zařízení mohou současně prozradit, kdy lidé přijíždějí domů a kdy nemovitost opouštějí.

Chytré zásuvky, topení nebo trouby sice většinou neposkytují obraz ani zvuk, útočník však může zasahovat do jejich provozu. Může se pokusit spotřebič zapínat a vypínat, změnit nastavenou teplotu nebo narušit automatické režimy. Záznamy o používání zároveň mohou pomoci skládat obraz každodenního života domácnosti.

Rozhoduje zabezpečení i umístění serverů

Samotná země výroby ještě neurčuje, zda je spotřebič bezpečný. Obezřetnost je ale namístě u levných zařízení nejasného původu, u nichž zákazník obtížně dohledá skutečného výrobce, provozovatele aplikace, umístění serverů nebo předpokládanou délku softwarové podpory.

Před nákupem je proto vhodné ověřit, zda výrobce pravidelně vydává bezpečnostní aktualizace a srozumitelně uvádí, jaká data zařízení shromažďuje. V domácnosti pomůže silné a unikátní heslo, vícefaktorové ověření a oddělení chytrých spotřebičů od počítačů a telefonů s citlivými dokumenty. Požadavky na zabezpečení připojených výrobků postupně zpřísňuje také evropský Akt o kybernetické odolnosti.

„U našich spotřebičů veškerý přenos dat mezi robotickými vysavači a aplikací probíhá prostřednictvím cloudových serverů umístěných výhradně v Německu. Data tak zůstávají v evropském právním prostředí a systém průběžně aktualizujeme také z hlediska bezpečnosti. Transparentní informace o umístění serverů a nakládání s údaji by dnes měly být při výběru podobného zařízení stejně důležité jako jeho výkon nebo výbava,“ dodává Martin Chalupníček z Kärcher .