Любой современный предмет — от зубной щетки до холодильника — может быть подключен к интернету. Эти устройства делают нашу жизнь комфортнее, но за удобство и низкую стоимость гаджетов мы платим своей приватностью и безопасностью. Анна Мария Мандалари, эксперт по кибербезопасности из UCL, провела масштабное исследование в одной из крупнейших лабораторий интернета вещей (IoT), протестировав более 210 устройств, чтобы выяснить, какие данные они собирают и куда их отправляют.
🔬 Внутри крупнейшей лаборатории по тестированию IoT 1:36
Для изучения поведения умных устройств Анна Мария Мандалари и её команда создали передовую тестовую среду в двух локациях: в Университетском колледже Лондона (UCL) и в Северо-Восточном университете в Бостоне . Исследователи закупили более 210 различных приборов: от умных кормушек для домашних животных и пылесосов до медицинских датчиков.
Методология исследования включает следующие этапы:
- Сбор всего сетевого трафика через точку доступа для полной видимости каждого пакета данных .
- Проведение изолированных экспериментов с каждым конкретным устройством.
- Накопление данных для анализа (база ведется с 2018 года).
Первые результаты показали тревожную тенденцию: данные с устройств, находящихся в Великобритании, чаще всего уходят не в Европу, а в США или Китай . По словам Мандалари, это критическая проблема, так как в этих странах действуют иные юрисдикции и правила защиты данных, которые могут быть гораздо мягче европейских.
🗣️ Умные колонки: «Я просто люблю „Звездный путь“» 4:30
Одной из главных тем исследования стала работа умных колонок, таких как Alexa от Amazon или Google Home. Мандалари объясняет стандартный механизм: когда вы произносите «активационное слово» (wake word), устройство записывает ваш голос, обрабатывает его локально, а затем отправляет аудиофайл в облако для выполнения команды .
Однако исследователи обнаружили проблему «ложных срабатываний». Чтобы замерить этот эффект, команда провела масштабный тест:
- В специальном акустическом шкафу колонки «слушали» более 500 часов контента из Netflix .
- Алгоритмы сопоставляли моменты активации колонок с транскриптами видео.
- Выяснилось, что устройства постоянно активируются на фразы, созвучные с их именами. Например, фраза «I like Star Trek» может заставить Alexa начать запись .
Самые пугающие находки в этой области:
- Некоторые устройства (в частности, Microsoft, Echo и Apple HomePod) записывали звук до 20 секунд после ложного срабатывания . Этого времени достаточно, чтобы перехватить частный разговор.
- По мнению Мандалари, даже если алгоритмы распознавания голоса улучшаются, риск остается: пользователь часто не знает, что его записывают, и его данные улетают на серверы в другую страну .
📺 Умные ТВ: скриншот каждые полсекунды 9:15
Если вы думаете, что телевизор просто показывает картинку, вы ошибаетесь. Современные Smart TV — это, по сути, компьютеры, использующие технологию ACR (Automated Content Recognition — автоматическое распознавание контента) .
Исследование Мандалари показало:
- Samsung: делает скриншоты экрана каждые 500 миллисекунд (дважды в секунду) .
- LG: захватывает аудиофрагменты каждые 10 миллисекунд .
Эти отпечатки (fingerprints) отправляются на серверы компаний, где сопоставляются с базой данных, чтобы понять, что именно вы смотрите: спортивный матч, новости или сериал. Это нужно для профилирования ваших интересов и последующей продажи рекламы.
Критически важный факт: ACR работает даже тогда, когда вы используете телевизор как «тупой» монитор — например, подключили к нему ноутбук или игровую приставку . Как утверждает Мандалари, данные о том, что происходит на экране, отправляются в облако и передаются третьим лицам, таким как Google Analytics, даже если у вас нет аккаунта в этих сервисах .
🤖 ИИ-расширения: шпионаж в браузере 14:56
С развитием генеративного ИИ популярность приобрели браузерные расширения (Merlin, Perplexity и другие). Они удобны: помогают писать письма и сокращать тексты. Однако исследовательская группа создала специальные «персоны» (профили пользователей с уникальными характеристиками: возраст, национальность, увлечения) и провела 1000 автоматизированных тестов, чтобы понять, как эти расширения обращаются с данными .
Результаты оказались удручающими:
- Расширения собирают данные из форм ввода, включая номера социального страхования и медицинские записи .
- Они профилируют пользователей по пяти атрибутам: возраст, пол, благосостояние, интересы и национальность .
- Данные сохраняются даже при смене аккаунта, так как системы используют «отпечаток браузера» (browser fingerprint) и IP-адрес для идентификации конкретного человека .
💉 Смертельная уязвимость: медицинские IoT-устройства 21:43
Наиболее опасным разделом исследования стали медицинские гаджеты, в частности инсулиновые помпы и датчики глюкозы, работающие через Bluetooth Low Energy (BLE). Мандалари продемонстрировала, как с помощью копеечного донгла за 15 фунтов, купленного на Amazon, можно взломать такие устройства .
Команда успешно провела несколько типов атак:
- Сниффинг (Sniffing): перехват пакетов данных между датчиком и смартфоном.
- Man-in-the-Middle (Человек посередине): подмена данных. Например, датчик показывает уровень кислорода 99%, а хакер меняет его в приложении на 67% .
- DoS-атака: полная блокировка работы датчика глюкозы.
Мандалари предупреждает, что если такой датчик напрямую соединен с инсулиновой помпой в замкнутом цикле, хакер может манипулировать впрыском инсулина, что создает прямую угрозу жизни пациента . Причем совершить атаку можно на расстоянии до 30–100 метров.
🛡️ Бесполезные защитники: тест IoT-сейфгардов 26:46
Многие компании предлагают «защитные боксы» или ПО для роутеров (например, Bitdefender, Fingbox, Avira), которые обещают защитить умный дом. Исследователи купили все доступные на рынке решения и протестировали их против реальных атак.
Результаты разоблачают маркетинг этих компаний:
- Слепота: Большинство «защитников» не смогли обнаружить даже простейшее сканирование портов или DoS-атаки .
- Сбор данных: Сами защитные устройства часто отправляют метаданные о вашем трафике третьим лицам (например, в Mixpanel), не всегда упоминая об этом в политике конфиденциальности .
- Ложные срабатывания: Некоторые системы (например, Bitdefender) часто сигнализировали об атаке там, где её не было, создавая лишний шум .
По словам спикера, политики конфиденциальности таких устройств часто содержат пункты о бессрочном хранении данных и передаче их «партнерам» .
🚀 Как вернуть контроль: решения «на краю» 40:04
Мандалари считает, что решение проблемы лежит в области Edge Computing (граничных вычислений). Вместо того чтобы отправлять всё в облако, обработка должна происходить прямо на домашнем роутере.
Исследователи разработали несколько прототипов:
- IoT Ad-blocker: Система с ИИ, которая определяет, какой трафик является обязательным для работы устройства, а какой — избыточным (рекламным или трекинговым). Тесты 30 устройств показали, что у половины из них есть «лишний» трафик, блокировка которого не мешает работе .
- Мониторинг энергии: Команда научилась распознавать хакерские атаки, просто анализируя потребление энергии устройством через умную розетку. Аномальные пики в энергопотреблении могут сигнализировать о взломе .
⚖️ Будущее: законы и маркировка 45:51
В конце выступления Анна Мария Мандалари отметила, что ситуация начинает меняться на законодательном уровне.
- В ЕС одобрено новое регулирование, которое станет обязательным с декабря 2027 года. Согласно ему, каждое IoT-устройство, продаваемое в Европе, должно пройти сертификацию по базовым требованиям кибербезопасности .
- Предлагается ввести «этикетки безопасности и приватности» с QR-кодом на коробках устройств. Покупатель сможет сканировать его и видеть рейтинг защищенности гаджета перед покупкой .
Главный посыл Мандалари: технологии прекрасны, но мы должны быть «человеком в контуре» (human in the loop), осознавая, какие данные уходят из нашего дома и кому они принадлежат.
