Varför vill hackare hacka smarta hemsäkerhetskameror?

En natt för ungefär 20 år sedan, medan jag surfade på nätet på min familjs Gateway 2000, saktade Netscape Navigator ner till en genomsökning. Musen slutade svara. Inte ens Ctrl-Alt-Delete gjorde ingenting.

Sedan dök en Windows-varning upp. Det såg … fel ut. En stund senare blev skärmen tom, CD-ROM-facket öppnades och en chattruta dök upp.

Jag blev förbannad, men jag visste vad som pågick. Jag blev hackad.

Genom chattboxen förklarade min hacker vad som hände. Jag hade fallit offer för en trojan, som lät hackaren komma åt min dator och kontrollera den. Det enda sättet att åtgärda skadan var att formatera om datorns hårddisk.

Trojanen som infekterade mig, Sub7, var ett tidigt exempel på skadlig programvara programmerad av någon känd som "

mobman.” Jag lärde mig aldrig identiteten på hackaren som skickade Sub7 till mig, men trojanens skapare arbetar nu som säkerhetsexpert. Jag kontaktade honom för att ta reda på varför någon kanske vill hacka sig slumpmässigt in i en främlings liv, ett fenomen som har blivit oroande vanligt på dagens smarta hemkameror.

Ringproblemet

Ring har definitivt inte haft den bästa turen. Med alla senaste hack i de senaste nyheterna borde det inte komma som någon chock att folk är oroliga. Hackare har riktat in sig på Rings kameror i massor, vilket leder till läskiga historier av hackare som spionerar på och till och med hånar sina offer.

Men varför? Vad tjänar hackare på att snoka på smarta hemkameror? Det är en svår fråga att ställa och svara på, särskilt när hackarna sällan fångas eller hittas.

Detta fick mig att sniffa upp ett svar från "mobman" själv, som också är känd som Gregory Hanis.

Hanis riktar nu sina kunskaper mot professionell internetsäkerhet. Han är för närvarande teknisk chef för Viperline Solutions, ett företag för IT-säkerhetslösningar i Alabama. Jag frågade honom varför hackare vill hacka säkerhetskameror. Hans svar var enkelt, men inte särskilt tröstande. Ofta är det bara för skojs skull.

Hanis trojan, Sub7, kan utnyttja ett offers anslutna webbkamera. Den kunde se video i realtid eller lyssna in genom en mikrofon. Sub7 blomstrade i slutet av 90-talet och början av 2000-talet, när de flesta PC-ägare inte hade ordentligt antivirusskydd installerat. Dess offer var lätta mål, men de som använde Sub7 gjorde det ofta bara för att busa eller skrämma offer.

"Jag tror just nu att folk gör det för sparkar och fniss, och de riktar sig bara mot solo. De gör det inte till en stor affär, eller riktar sig ens mot någon, säger Hanis.

Det verkar inte som om Rings kameror äventyrades av ett komplicerat hack på moderbolaget Amazons servrar. Istället erhölls sannolikt inloggningsdata genom att undersöka hackade autentiseringsuppgifter från andra källor, gissa lösenord eller genom social ingenjörskonst. Tvåfaktorsautentisering kan stoppa dessa intrång, men som PC-ägare i slutet av 1990-talet har människor som äger smarta hemkameror ofta inte säkerheten i fokus.

På frågan om hackare som fick åtkomst till en Ring-kamera Hanis var inte imponerad av att prata med en liten flicka. "Jag tittade på det, det ser ut som att det finns några videor på YouTube om människor, jag vill inte säga hackare, eller hur? Jag vill säga ding-dongs, brottslingar eller vem som helst, komma åt ett litet barns rum."

Ring, och dess rivaler, måste fokusera på säkerhet

Hanis tycker att Ring borde göra mer för att förhindra hackare från att komma åt kameror. "Jag tror att de sa att de har multifaktorautentisering. Jag vet inte varför folk inte slår på det. [Ring] borde ha satt den på som standard, som när du skapar ditt konto."

Ring så småningom rekommenderade användare att slå på tvåfaktorsautentisering, men först efter att hackarna kommit till nyheterna. Nu med sin nya Kontrollcenter, Ring lägger tonvikt på integritets- och säkerhetsinställningar i appens huvudinstrumentpanel. För närvarande är tvåfaktorsautentisering ett opt-out-alternativ under nya kontoinställningar, men snart kommer det också att vara ett opt-out-alternativ under nya enhetsinställningar på befintliga konton.

Stämningar har väckts i Kalifornien av käranden som påstår Rings underlåtenhet att erbjuda grundläggande säkerhetsåtgärder för att förhindra dessa hack. I ett fall hotades ett par med "uppsägning" om de inte betalade hackern 50 bitcoin (cirka $436 000).

Efter att ha utvecklat Sub7, och nu som chef för andra säkerhetsrelaterade projekt, anser Hanis att Rings problem härrör från bristen på fokus på att programmera säkerhetsfunktioner som hanterar problematiska scenarier.

"Jag är 100% säker på att när de går för att utveckla dessa produkter och sånt så gör de inte det. De tänker inte på alla vad om, säger Hanis. "Och det är därför vi kommer att ha de här problemen, och vi kommer fortfarande att ha de här problemen. Tills det finns något som upprätthåller det, eller något ansvar, spelar det ingen roll."

Hackare kan lätt kompromissa med prylar som har dålig säkerhetsutveckling, så det är företagens ansvar att göra dem till en prioritet från början, snarare än senare. Som Hanis påpekade kunde Ring ha undvikit problem om tvåfaktorsautentisering erbjöds under den första installationsprocessen.

Hacken kommer sannolikt att bli allvarligare

Även om vissa enstaka incidenter har involverat kriminella aktiviteter som hot eller försök till utpressning, är dessa sällsynta. Massattackerna som sker via e-post, textmeddelanden och sociala medier har inte träffat kameror. Än.

"Jag såg inte så mycket illvilja. Jag såg faktiskt inte att någon blev bestulen eftersom det finns tillfällen att veta när de är hemma, säger Hanis. Men han tror att "det kommer säkert att nå dit."

Hans varning är nykter och, med all sannolikhet, korrekt. Hackare kommer att försöka hitta nya sätt och utveckla verktyg för att fjärråtkomst till kameror utan ägarnas vetskap.

Detta är exakt den utveckling som visas av Trojaner och annan skadlig programvara. Tidiga exempel, som Hanis Sub7, kunde vara skadliga men var ofta mer irriterande än ett allvarligt problem. Men hotet utvecklades snabbt. Hackare började tänja på gränserna för vad befintliga trojaner kunde göra, skapade sedan ny skadlig programvara och använde nya tekniker för att distribuera den. Bara ett decennium skiljer tidiga trojaner som Sub7 åt och den beväpnade användningen av skadlig programvara som slog ner Irans kärnkraftsprogram.

Det är upp till Ring, och andra företag som säljer smarta säkerhetskameror, att se till att lämpliga skyddsåtgärder finns på plats. Från att utbilda användare till att skicka ut ständiga påminnelser om att ställa in tvåfaktorsautentisering, eller till och med ge människor en historia om vilka enheter som är anslutna till ett konto, dessa metoder främjar medvetenhet som skulle gynnas alla. Annars är ägarna skyldiga att falla offer för hackare.

Redaktörens rekommendationer

• USA: s regering kommer att lansera ett nytt cybersäkerhetsprogram för smarta hemenheter 2024
• Wyze Cam Floodlight Pro är en förstklassig utomhuskamera med massor av AI-funktioner
• Rings nya inomhuskamera har en inbyggd integritetsslutare
• Google samarbetar med ADT för att lansera ett nytt säkerhetssystem för smarta hem
• Arlo utökar support för äldre kameror och dörrklockor