Kako to obično i biva, tako nezaštićenim podacima pristupilo je više strana, uključujući i kriminalce koji su tražili otkupninu za njihov povrat. Spiral Toys, tvrtka koja proizvodi liniju plišanih životinja povezanih na internet nazvanih CloudPets, znala je za upade u nezaštićenu bazu podataka, no čini se kako nisu učinili ništa po tom pitanju - barem u periodu između 25. prosinca i 8. siječnja kada je zabilježen pristup dijelu korisničkih podataka.

Troy Hunt, sigurnosni stručnjak sa stranice Have I Been Pwned?, otkrio je kako je u pitanju ukupno 821.296 računa smještenih u rumunjskom poduzeću mReady. Dok snimljeni razgovori nisu bili u istoj bazi podataka, oni su se nalazili na Amazon S3 Bucketu koji nije tražio autorizaciju za pristup. Bilo je potrebno tek znanje strukture direktorija tj. datoteka, što se dalo iskopati iz mobilne aplikacije.

Usprkos višestrukim upozorenjima stručnjaka, tvrtka se nije oglasila niti jednim komunikacijskim kanalom. Sigurnosni stručnjaci su tek za medije izjavili kako se Spiral Toys ponio krajnje neodgovorno te da je stvar kudikamo ozbiljnija nego su ljudi svjesni.

Što dalje? Teško je reći. Dok je tvrtka izmijenila sigurnosne parametre, činjenica da su neke zemlje poput Njemačke zabranile prodaju igračaka povezanih na internet za najmlađe upravo zbog mogućnosti snimanja djece i roditelja govori dovoljno u prilog tezi problema IoT svijeta. O tom se jednostavno ne govori dovoljno, usprkos brojnim upozorenjima IT divova i sigurnosnih stručnjaka.

Neke od neprofitnih organizacija zabrinutih za korisnike CloudPetsa odlučile su ih kontaktirati, kako je oko cijele stvari donedavno doslovno vladala tišina. Poučak je jasan - čak i kada nisu u pitanju najmlađi, kod kupovine IoT uređaja valja dobro voditi računa ima li to smisla uopće, pored svih sigurnosnih rizika u ovom trenutku.

Troy Hunt