Эксперты обнаружили уязвимости в IoT-четках, которые были представлены разработчиками Ватикана, сообщает Threatpost. Оказалось, что разработчики устройства не защитили пользовательские аккаунты от стороннего вмешательства и оставили хакерам возможность доступа к личной информации пользователей.
Умные четки eRosary были представлены 15 октября и поступили в продажу по цене чуть более $100. Устройство, состоящее из десяти бусин и распятия, отслеживает, когда пользователь крестится. В этот момент оно запускает на смартфоне или планшете приложение Click To Pray, чтобы подсказать верующему последовательность движений или слова в Розарии.
Буквально на следующий день после релиза новинки исследователи обнаружили в приложении серьезные проблемы безопасности. Как выяснилось, разработчики не ограничили количество неудачных попыток авторизации в Click To Pray. Это позволяло злоумышленникам подобрать четырехзначный PIN-код, используемый для авторизации в приложении. Эту комбинацию цифр также можно было получить через API-запрос бэкенд-серверу по электронному адресу жертвы.
В результате хакер получал доступ к профилю Click To Pray, где хранятся возраст, рост и вес пользователя, а также получал возможность увидеть его фото. Злоумышленник мог удалить аккаунт и скомпрометировать новые учетные записи при условии, что они будут зарегистрированы на известный ему адрес электронной почты.
Как отмечают обнаружившие эти уязвимости исследователи, несмотря на то, что в профиле Click To Pray не было финансовых данных или другой важной информации, от взлома могли пострадать верующие в тех странах, где католики сталкиваются с притеснениями. К тому же приложение позволяло соотнести имя пользователя с его фотографией и датой рождения, и злоумышленники могли затем использовать эти данные для проведения атак на основе социальной инженерии.
