Philips Hueの脆弱性、ハッカーが電球などを制御可能にc

Philips Hueの脆弱性により、ハッカーは個々の電球を制御でき、任意の点灯／消灯、色と明るさの変更が可能になります。これは、無線送信機を備えたノートパソコンを使って遠隔操作で実行できます。デモ動画は以下からご覧いただけます。

リスクは依然として残っていますが、同社は、これまで攻撃者が Hue ブリッジを侵害し、そこから接続された PC を含むネットワークの残りの部分を侵害することを可能にしていたエスカレーションの脆弱性をブロックする措置を講じてきました…

この脆弱性は、Philips Hue電球をはじめとするスマートホームデバイスで使用されているZigbee通信プロトコルに発見されました。Zigbeeは、Amazon Echo Plus、Samsung SmartThings、Belkin WeMo、Hive Active Heatingとその付属品、Yaleスマートロック、Honeywellサーモスタット、Bosch Security Systems、IKEA Tradfri、Samsung Comcast Xfinity Boxなどにも使用されています。

チェック・ポイントのセキュリティ研究者は、単一の電球の制御からネットワーク全体を乗っ取るまで攻撃をエスカレートする方法を発見しました。エスカレーションの仕組みは以下のとおりです。

• 攻撃者は元の脆弱性を利用して電球の1つを制御します
• ユーザーはランダムな動作を目にし、電球を自分で制御することもできない。
• 明らかなトラブルシューティング手順は、電球を削除して再度スキャンし、再度追加することです。
• これを再度追加すると、電球内のマルウェアがHueブリッジにアクセスできるようになります。
• そこから、接続されたPCを含むあらゆる場所に感染が広がる可能性がある。

攻撃者が接続された PC にアクセスすると、キーロガーやランサムウェアなどをインストールできるようになります。

もちろん、Check Pointは責任ある行動を取り、Philips Hueブランドの所有者であるSignifyに調査結果を開示しました。現在、パッチが利用可能です。ユーザーはHueアプリでアップデートが利用可能かどうかを確認し、もしあればインストールすることをお勧めします。

個々の電球を制御できるという元々の脆弱性は、電球自体のハードウェア変更が必要となるため、修正プログラムを適用できません。ただし、アップデートをインストールすることで、ネットワーク上の他のデバイスへの拡散を防ぐことができます。

Check Point 社は、Hue 電球を取り扱う企業にとって自らを保護することが特に重要だと述べています。

チェック・ポイント・リサーチのサイバーリサーチ責任者であるヤニフ・バルマス氏は、「IoTデバイスがセキュリティリスクをもたらす可能性があることは多くの人が認識していますが、今回の調査では、電球のような一見『無用の長物』に見えるデバイスでさえ、ハッカーに悪用され、ネットワークを乗っ取られたり、マルウェアを仕込まれたりする可能性が示されています」と述べています。「組織や個人は、デバイスに最新のパッチを適用し、ネットワーク上の他のマシンから分離することで、マルウェアの拡散を防ぎ、こうした攻撃から身を守ることが不可欠です。今日の複雑なサイバー攻撃環境において、ネットワークに接続されるあらゆるデバイスのセキュリティを軽視することはできません。」

Philips Hue は、責任ある情報開示に対して Check Point に感謝の意を表しました。

以下のビデオデモを視聴できます。

www.ikvalue.com を Google ニュース フィードに追加します。