איומי סייבר דרך האוויר (בלוטות', WiFi) הגיעו לאמזון אקו Amazon Echo ולגוגל הום Google Home המופעלים על פלטפורמות אנדרואיד ולינוקס
מאת: מערכת Telecom News, 15.11.17, 19:06
 
סטארטאפ סייבר ישראלי: 20 מיליון התקנים ספציפיים אלו של Internet of Things - IoT מעמידים עסקים ובתים בסכנה. הפגיעות למתקפה היא דרך נקודות תורפה מסוג BlueBorne והיא מתבצעת מבלי להזדקק להונאת משתמשים ע"י הפעלת קישורי נוזקה או הורדת קובץ. שוחררה אפליקציה בחנות גוגל לזיהוי התקנים שנפגעו.
 
סטארטאפ הסייבר העוסק ב-IoT - האינטרנט של הדברים, ארמיס, הודיע היום, שההתקנים המסייעים האישיים הפופולריים המופעלים באמצעות קול, כולל ההתקנים Amazon Echo ו-Google home פגיעים למתקפה דרך נקודות תורפה מסוג בלובורן (BlueBorne airborne attacks), שנחשפו לאחרונה ע"י חוקרי החברה.
 
הסטארטאפ הוקם ב-2015 ע"י יבגני דיברוב ונדיר יזרעאל וגייס עד כה 17 מיליון דולרים מקרנות מובילות ובהן סקויה קפיטל ומשקיעים בתחום כמו זוהר זיסאפל ומיקי בודאי. לסטארטאפ מרכז פיתוח בישראל והנהלתו הראשית ממוקמת בקליפורניה, בנוסף למשרד בתל-אביב.
 
ע"י ניצול התקנים ללא תיקוני אבטחה, האקרים עלולים להשתלט עליהם, להפיץ נוזקה, ולחולל מתקפה מסוג "אדם בתווך" ("man-in-the-middle") לרכישת גישה לנתונים קריטיים, מידע אישי, תעבורה ורשתות. בלובורן מסוכנת במיוחד כיוון שההאקרים יכולים לבצע מתקפות דרך האוויר דרך כל התקן מאופשר בלוטות פגיע מבלי להזדקק להונאת משתמשים ע"י הפעלת קישורי נוזקה, הורדת קובץ, או התעסקות כלשהיא אתם.
 
בגל ה"בלובורן" הראשון, שהודיעו עליו, חשפה החברה, ש-5 מיליארד התקנים נחשפו למתקפה אפשרית. בשלב חדש זה, החוקרים אישרו, שתחום המתקפה כולל כ-20 מיליון התקני  Amazon Echo ו Google home-המופעלים על פלטפורמות אנדרואיד ולינוקס. בלובורן היא נקודת התורפה החמורה הראשונה המופעלת דרך האוויר הפוגעת ב-Amazon Echo. היא אינה דורשת מתקפה פיזית נרחבת.
 
עלייה בדרישות להתקן
המסייעים האישיים החכמים מופעלי הקול של אמזון וגוגל יצרו שוק של מיליארדי דולרים. מעריכים, שעד כה נמכרו 15 מיליון פריטים של Amazon Echo ו-5 מיליון פריטים של Google home, לפי דו"ח חודש ספטמבר של CIRP - שותפות למחקר ביון בשוק הצרכנים, הערכות נוספות מראות, שעד 2020 יותקנו יותר מ-128 מיליון התקני אקו וההכנסה הצפויה מכך לחברה עד אז, תהיה יותר מ-10 מיליארד דולרים.
 
השפעות על עסקים
בנוסף לנוכחות ההתקנים והמסייעים החכמים Amazon Echo ו- Google home בבתי משתמשים ברחבי העולם, 2 החברות עושות את דרכן לתוך הסביבה העסקית, עם שימושים הנפוצים מחדר הישיבות עד לחדר מכונת הצילום. הנתונים שבידי החברה מראים, של-82% מהמשתמשים שלה יש Amazon Echo בעסק שלהם. סקר של חברת Spiceworks  מ-2016 הראה, שכמעט מחצית מאנשי המחשוב שנשאלו משתמשים במסייעים חכמים או ישתמשו בהם בתוך 3 שנים בארגון שלהם. עם הגידול בשימוש בהתקנים אלה, יותר ויותר קריטי לאבטח את ההפעלה של התקנים אלו.   
 
גילוי מתואם
ארמיס תיאמה את גילוי נקודות התורפה הללו ישירות עם אמזון וגוגל בטרם יצאה בהודעה פומבית על כך. דבר זה איפשר לחברות אלו לפרסם תיקונים ועדכוני אבטחה נאותים בטרם יוכלו ההאקרים להיוודע לנקודות תורפה אלו. גוגל פרסמה כבר תיקוני אבטחה לשותפיה לטיפול בנקודות התורפה בלובורן. גם אמזון וגם גוגל פרסמו עדכוני אבטחה להתקני אקו והום בהתאמה.
 
אפליקציה לבדיקה ותיקון זמינה כבר
כדי לסייע לצרכנים, ליצרני ההתקנים ולמשתמשים עסקיים לקבוע האם התקנים כלשהם פגיעים לבלובורן, ארמיס שחררה אפליקציה בחנות האפליקציות של גוגל, שאפשר להשתמש בה לזיהוי התקנים שנפגעו. האפליקציה הורדה יותר מ-260,000 פעמים מאז שחרורה בספטמבר, ואפשר להוריד אותה כאן.
 
הסבר וידיאו על אופן הפעולה של בלובורן וכיצד הוא מתפשט - כאן.
הדגמת וידיאו על השפעת בלובורן על Amazon Echo -  כאן.
מידע נוסף - כאן.
 
יבגני דיברוב, מנכ"ל ארמיס: "דרישה עולה להתקני 'מסייעים אישיים דיגיטליים' מרחיבה את הדרכים בהן תוקפים עלולים לחדור לחיי משתמשים ולגנוב מידע אישי ולבצע הונאות. צרכנים ועסקים צריכים להיות מודעים לאופן בו ההתקנים שלהם מחוברים לבלוטות ולרשתות הנגישות דרכו, כדי לנקוט באמצעי זהירות להגנה על המידע שבידיהם.
 
הגידול באיומי מתקפות דרך האוויר כגון בלובורן וקראק (KRACK) הם קריאת השכמה לבתי עסק כי הביטחון המסורתי פשוט אינו מסוגל להגן נגד גורמי מתקפות חדשים המכוונים ל-IoT  ולהתקנים המותקנים בתוך החברות.
 
כל ארגון חייב לרכוש יכולת צפייה על התקני IoT מאושרים ובלתי מאושרים בתוך סביבת העבודה שלהם. אם לא יעשו כן, הם ייפגעו ע"י התקפה העלולה להוביל לגניבת זהויות משתמשים ועובדים, שורת הרווח שלהם תיפגע, ומנהלים בכירים אף עלולים לאבד את משרותיהם".