Ostatnio badacze z Uniwersytetu Northeastern postanowili przeprowadzić eksperyment - kupili 86 w serwisie eBay używanych Echo Dot produkowanych przez Amazona i sprawdzili jakie dane można z nich odzyskać. Niestety, okazało się, że ponad połowa z nich nie została nawet przywrócona do ustawień fabrycznych.

A ponieważ Echo Dot jak większość urządzeń na rynku nie weryfikuje w żaden sposób czy na pewno łączymy się do tej samej sieci Wi-Fi (a nie tylko sieci o tej samej nazwie i haśle), to przy odrobinie wysiłku i wiedzy technicznej badacze byli w stanie wyciągnąć dane sieci i przygotować ich “klony”, do których głośniki się bez problemu podłączały.

Następnie, z pomocą komend głosowych można już sporo zdziałać z kontem na Amazonie poprzedniego właściciela - od prostego pytania o nazwisko właściciela, przez grzebanie w kalendarzu, kontrolowanie połączonych urządzeń czy powiadomienia o paczkach do odebrania.

Niestety, okazuje się, że nawet przywrócenie ustawień fabrycznych może nie wystarczyć. Echo Dot korzystają z pamięci NAND, która domyślnie nie kasuje fizycznie danych po ich usunięciu, aby nie zwiększać niepotrzebnie zużycia kości pamięci (każdy zapis je zużywa) - fizyczny zapis dokonuje się dopiero w momencie zapisywania nowych danych w tym samym miejscu. Dane konta czy sieci Wi-Fi nadal można potencjalnie odzyskać, choć wymaga to już więcej pracy.

Amazon z jednej strony tłumaczy, że ryzyko nie jest duże, bo wymaga fizycznego dostępu do urządzenia (ale sprzedając je, potencjalnie wystawiamy się na tego typu atak). Firma jednak zapewnia, że pracuje nad lepszym zabezpieczeniem danych użytkowników.

Podobne problemy mogą zapewne dotyczyć innych smart urządzeń podłączanych do sieci Wi-Fi.

Źródło: Ars Technica