Spiral Toys, compañía de California que vende osos de peluche "inteligentes" conectados al "Internet de las Cosas" (IoT), dejó expuestos desde el Día de Navidad de 2016 hasta al menos la primera semana de enero los datos de 800.000 cuentas de usuario de su marca CloudPets en una base de datos que no estaba protegida por cortafuegos o contraseña. Durante ese tiempo al menos 2 investigadores de seguridad pusieron sus manos sobre él. También ciberdelincuentes, que copiaron los datos y los borraron de la base de datos, pidiendo rescate por ellos.
Comentarios
Lo de los "2.000.000 de mensajes filtrados" en el titular -lo traduje literalmente- lo explica más en este párrafo:
The voice messages themselves were not in the database, according to the researchers. But Hunt found out that they were stored in an Amazon S3 bucket that doesn't require authentication. So as long as hackers could guess the URL of the files, they could listen to the messages. Hunt said he believes that was definitely possible. Moreover, many customers used incredibly weak passwords such as 123456 or "cloudpets," (in part probably because the app allowed users to create accounts even with as short a password as "qwe," as this video shows), making it trivial to log into their accounts and listen to the saved messages.
To make matters worse, the data was exposed two months ago, and since then, the company hasn't notified the victims, nor disclosed the breach.
Reelaciona, de hace unos días (mucha gente se lo tomó a broma, pero no dejan de ser conversaciones entre padres y niños):
Alemania prohibe la venta de "Cayla", la muñeca espía
Alemania prohibe la venta de "Cayla", la...
es.euronews.comConectemos a internet los marcapasos, los respiradores portátiles, los medidores de insulina, los vigila-niños ¿qué puede ir mal?
Tengo que hablar algo personal contigo hija, así que vamos al jardín donde no nos oigan tus peluches.
Los niños no tienen la culpa de que el legado de los adultos permita basura invasiva que haga negocio con sus datos.