Como hackers estão invadindo câmeras de segurança

Hackers criaram softwares para invadir câmeras de segurança Ring, segundo postagens em fóruns de hackers vistas pela Motherboard, da VICE. A empresa que fabrica a câmera é propriedade da Amazon, que tem centenas de parcerias com departamentos de polícia nos EUA.

A imprensa local deu a notícia que uma pessoa hackeou uma câmera Ring instalada no quarto de três meninas em DeSoto County, Mississippi, nos Estados Unidos, e falou através dos alto-falantes do aparelho com uma das crianças.

A família disse que instalou a câmera quatro dias antes, e nesse tempo o hacker podia estar assistindo as crianças durante todo o dia.

Segundo o canal de notícias do Tennessee WMC5, os pais instalaram a câmera Ring no quarto das três filhas para cuidar delas. Câmeras indoor Ring funcionam com um aplicativo de celular que permite aos usuários assistir o que está acontecendo em tempo real e usar os alto-falantes para falar pela câmera.

“Fiz muita pesquisa sobre esses aparelhos antes de comprar. Sabe, eu estava me sentindo bastante segura”, disse Ashley LeMay, a mãe das meninas, a WMC5. Grande parte da estratégia de marketing da Ring gira em torno de fazer os clientes sentirem que suas casas não são seguras, para que eles se voltem para aparelhos de segurança para diminuir esses medos.

Num vídeo obtido pela WMC5 cortesia da família, é possível ver o que o hacker estava vendo: um ponto de vista do quarto todo pela câmera instalada no alto em um dos cantos, com vista para as camas e gaveteiro enquanto as meninas brincam. É possível ouvir o hacker tocando a música “Tiptoe Through the Tulips” através do alto-falante do aparelho, e quando uma das filhas, que tem oito anos, para e pergunta quem é, o hacker diz “É o Papai Noel. Seu melhor amigo”.

Os pais disseram a WMC5 que não tinham configurado a autenticação de dois fatores ainda para o aparelho; e por isso seria fácil para alguém mudar as senhas e tomar o controle de suas câmeras.

Como outros ataques a câmeras de smart home IoT, esse usou a senha de segurança fraca da conta da Ring dos pais para acessar o painel deles e falar diretamente através do aparelho. Uma afiliada local da NBC também informou que hackers atacaram a câmera Ring de uma família na Flórida recentemente, com o hacker gritando xingamentos racistas pelo aparelho.

Essas notícias destacam como, apesar do nível de proteção maior de contas Ring com autenticação de dois fatores, alguns usuários não estão fazendo uso disso, e a Ring não os obriga a fazer a autenticação também, apesar de uma câmera Ring poder ser usada para espionar conversas e locais.

O Motherboard encontrou várias postagens em fóruns de crime onde hackers discutiam criar ferramentas para invadir contas Ring conectadas com câmeras.

“Config Vídeo Ring Campainha” dizia uma thread de um fórum de hackers. Um config é um arquivo usado para direcionar um software especial para passar rapidamente por nomes de usuários ou endereços e senhas de e-mail e tentar usá-los para logar em contas. Hackers já desenvolveram configs para vários sites e serviços online, do Uber ao Facebook.

O título da thread acrescenta que aquele config tem um “Alto CPM”, alta “conferência por minuto”, significando que pode testar se um nome de usuário e senha dão acesso a uma câmera Ring rapidamente. Num outra thread, um hacker oferece um config de Ring.com por $6.

Aparentemente há procura para o arquivo, com outro usuário acrescentando na thread que “vi várias pessoas pedindo esse config”.

Outro acrescentava: “Acho que você só usaria um desses se estivesse realmente planejando invadir a casa de alguém”.

Mas esse tipo de arquivo também pode ser usado para assédio. No caso da câmera hackeada em DeSoto County, o pai das garotas estava no primeiro andar durante o ataque, e subiu para o quarto para desligar a câmera. Pesquisa sobre câmeras de segurança internas revela muitos exemplos mostrando por quê, para a maioria das famílias, colocar uma câmera no quarto dos filhos é um risco desnecessário: muitas câmeras de smart home e aparelhos IoT já foram hackeados antes.

Um porta-voz da Ring disse numa declaração: “A confiança dos clientes é importante pra nós e levamos a segurança dos nossos aparelhos muito a sério. Enquanto ainda estamos investigando essa questão e tomando passos para proteger nossos aparelhos, podemos confirmar que o incidente não está relacionado com uma brecha na segurança da Ring”.

“Como precaução, encorajamos todos os usuários de Ring a configurar a autenticação de dois fatores na sua conta Ring, acrescentar Usuários Compartilhados (em vez de compartilhar credenciais de login), usar senhas fortes e trocar senhas regularmente”, ele acrescentou.