[Päivitys: Lausunto] Eufy-tietoturvavirhe antaa vieraiden katsella ja hallita toistensa kamerasyötteitä
Päivitys, 19.5.21 klo 11.36: Eufy vastasi meille lausunnolla, joka on saatavilla alla. Olemme yhteydessä yritykseen lisätietojen saamiseksi.
Eufy-tietoturvavirhe antoi käyttäjille täydellisen pääsyn tuntemattomien tileihin, mukaan lukien suorat videosyötteet, tallenteet, kameran panorointi- ja zoomaussäätimet sekä yksityiset tilitiedot. Vaikka Eufy väittää korjaaneensa ongelman, se ehdottaa, että kaikki käyttäjät irrottavat ja kytkevät uudelleen kameralaitteistonsa ja kirjautuvat ulos ja takaisin Eufy Security -sovellukseen. Se on huono merkki, ihmiset!
Useat Eufy-käyttäjät ilmoittivat virheestä Redditissä , jotka havaitsivat kirjautuneensa satunnaisille Eufy Security -tileille. Eufyn mukaan vika ilmeni palvelimen päivityksen aikana klo 4.50 EST, mikä selittää sen, miksi vain harvat ihmiset Yhdysvalloissa kohtasivat sen. Silti monilla australialaisista, jotka ilmoittivat tästä virheestä Redditissä, oli pääsy Eufy Security -tileille Yhdysvalloissa ja muissa osissa maailmaa.
Otimme Eufylta lausunnon, jonka voit lukea täältä. Jatkamme tämän artikkelin päivittämistä, jos yritys tarjoaa lisätietoja:
Olemme tehneet tiivistä yhteistyötä eufy-tiimin kanssa selvittääksemme, mitä tapahtui ja mitä yritys tekee seuraavaksi, ja alla on päivitys:
Ohjelmistopäivityksen aikana, joka suoritettiin palvelimellamme Yhdysvalloissa 17. toukokuuta klo 4.50 EDT, tapahtui virhe, joka vaikutti rajoitettuun määrään käyttäjiä Yhdysvalloissa, Kanadassa, Meksikossa, Kuubassa, Uudessa-Seelannissa, Australiassa ja Argentiinassa. Tämä ei vaikuta käyttäjiin Euroopassa ja muilla alueilla. Suunnittelutiimimme havaitsi ongelman kello 5.30 EDT ja peruutti välittömästi palvelinversion ja otti käyttöön hätäpäivityksen. Tapahtuma korjattiin kello 6.30 EDT. Olemme vahvistaneet, että tämä tapaus vaikutti yhteensä 712 käyttäjään.
Vaikka ongelma on ratkaistu, suosittelemme käyttäjiä asianomaisissa maissa (USA, Kanada, Meksiko, Argentiina, Uusi-Seelanti, Australia ja Kuuba) toimimaan seuraavasti:
- Irrota eufy Securityn kotitukiasema ja liitä se sitten uudelleen.
- Kirjaudu ulos eufy Security -sovelluksesta ja kirjaudu sisään uudelleen.
Kaikki käyttäjien videotietomme tallennetaan paikallisesti käyttäjien laitteisiin. Palveluntarjoajana eufy tarjoaa tilinhallinnan, laitehallinnan ja P2P-etäkäytön käyttäjille AWS-palvelimien kautta. Kaikki tallennetut tiedot ja tilitiedot on salattu.
Jotta näin ei tapahtuisi tulevaisuudessa, ryhdymme seuraaviin toimiin:
- Päivitämme verkkoarkkitehtuuriamme ja vahvistamme kaksisuuntaista todennusmekanismiamme palvelimien, laitteiden ja eufy Security -sovelluksen välillä.
- Päivitämme palvelimiamme parantaaksemme niiden käsittelykapasiteettia mahdollisten riskien poistamiseksi.
- Olemme myös hankkimassa TUV- ja BSI Privacy Information Management System (PIMS) -sertifikaatteja, jotka parantavat edelleen tuoteturvallisuuttamme.
Ymmärrämme, että meidän on jälleen rakennettava luottamus teihin asiakkaidemme kanssa. Olemme erittäin pahoillamme ja lupaamme ryhtyä kaikkiin tarvittaviin toimiin estääksemme tämän toistumisen. Kiitos, että luotat turvallisuutesi meihin. Tiimimme on tavoitettavissa 24/7 osoitteessa support@eufylife.com ja ma-pe klo 9.00-17.00 (PT) verkkokeskustelumme kautta osoitteessa eufylife.com.
Jotkut r/EufyCam-subredditin käyttäjät kertovat kuulleensa outoja ääniä kamerastaan noin ajankohtana, jolloin vika ilmoitettiin ensimmäisen kerran. Tämä on merkki siitä, että joku, joka on ottanut kameran kaiutinpuhelimen käyttöön, tarkkaili heitä. Ei ole yllättävää, että nämä käyttäjät sanovat, etteivät he halua pitää Eufy-kameroitaan enää.
Nopeaa twiittiään lukuun ottamatta Eufy ei ole kommentoinut virhettä. Emme tiedä, miksi käyttäjät törmäsivät yhtäkkiä toistensa tileihin tai miksi Eufylta kesti lähes 2 tuntia ongelman ratkaisemiseen – emmekä todellakaan tiedä, onko se korjattu. Yrityksen ehdotus, että käyttäjät kirjautuvat ulos ja takaisin tililleen, viittaa siihen, että joillakin ihmisillä saattaa silti olla pääsy vieraiden tilille. On myös epäselvää, vaikuttiko tämä ongelma HomeKit Secure Video -käyttäjiin, joita tulisi suojata tällaisilta tietoturvavirheiltä.
Jos omistat Eufy-valvontakameroita, kirjaudu ulos ja takaisin tilillesi ja irrota kameran laitteisto tilapäisesti pistorasiasta nopeaa nollausta varten. Tai, tiedätkö, sammuta kamerasi, kunnes Eufy tarjoaa todellista tietoa siitä, kuinka tämä tietoturvaloukkaus tapahtui. Voit myös pyytää palauttamaan kamerasi ja vaihtamaan toiseen merkkiin.
Lähde: Eufy, r/EufyCam Engadgetin kautta