Güvenlik araştırmacıları, popüler bir akıllı oyuncak robotunda bulunan güvenlik açıklarının çocukları potansiyel olarak siber suçluların hedefi haline getirebileceğini keşfettiler.
Çocuklar için tasarlanan söz konusu Android tabanlı akıllı oyuncak robot, dahili video kamera ve mikrofonla donatılmış. Çocukları isimleriyle tanımak ve onlarla etkileşime geçmek için yapay zekadan yararlanıyor.
Zaman içinde onların ruh haline göre tepkileri ayarlanarak yavaş yavaş arkadaşlık ilerletiliyor. Akıllı oyuncak tüm potansiyelini ortaya çıkarmak için ebeveynlerin uygulamayı mobil cihazlarına indirmeleri gerekiyor. Bu uygulama aracılığıyla ebeveynler, çocuğun öğrenme faaliyetlerindeki ilerlemesini takip edebiliyor, hatta robot aracılığıyla çocukla video görüşmesi bile başlatabiliyor.
İlk kurulum sırasında ebeveynlerden akıllı oyuncak bir Wi-Fi ağına bağlamaları, mobil cihazlarıyla bağlantı kurmaları ve ardından çocuğun adını ve yaşını girmeleri isteniyor. Tam da bu aşamada güvenlik uzmanları endişe verici bir güvenlik sorununu ortaya çıkarıyor.
Bu bilgileri talep eden sorumlu API’ın (Uygulama Programlama Arayüzü), ağ kaynaklarınıza kimin erişebileceğini doğrulayan bir adım olan kimlik doğrulama uygulamasından yoksun olduğu ortaya çıkıyor. Bu durum potansiyel olarak siber suçluların ağ trafiğini ele geçirip analiz ederek çocuğun adı, yaşı, cinsiyeti, ikamet ettiği ülke ve hatta IP adresi de dahil olmak üzere çeşitli veri türlerine erişmesine olanak tanıyor.
Dahası, bu kusur siber suçluların robotun kamera ve mikrofonundan yararlanarak ve veli hesabına dair gerekli yetkilendirmeyi atlayarak kullanıcılarla doğrudan arama başlatmasını sağlıyor. Bir çocuk bu aramayı kabul ederse, saldırgan ebeveynlerin izni olmadan çocukla gizlice iletişim kurabilir.
Bu gibi durumlarda saldırgan kullanıcıyı manipüle edebilir, potansiyel olarak onu güvenli ev ortamından dışarı çekebilir veya riskli davranışlarda bulunmaya ikna edebilir.
Ayrıca ebeveynin mobil uygulamasındaki güvenlik sorunları, bir saldırganın robotun kontrolünü uzaktan ele geçirmesine ve ağa yetkisiz erişim sağlamasına olanak tanıyabilir.
Altı haneli tek seferlik parolayı (OTP) kurtarmak için zorla tahmin yöntemlerini kullanan ve başarısız denemeler için herhangi bir sınırlama getirmeyen bir saldırgan, robotu uzaktan kendi hesabına bağlayarak cihazı sahibinin kontrolünden çıkarabilir ve kendi kontrolü altına alabilir.
Redmi Buds 5 Pro İnceleme: Üst seviye performansa uygun fiyata kavuşun
