Ring vervolgd over gehackte camera's die de privacy van kinderen hebben blootgelegd

Helaas hebben we de neiging om niet na te denken over de gevolgen wanneer we meer en meer apparaten met internet verbinden. Vorig jaar kochten Ashley LeMay en Dylan Blakeley bijvoorbeeld een aantal IP-camera's van Ring en installeerden deze in hun huis met de bedoeling ze als babyfoons te gebruiken. Ze hielden van het idee dat ze, naast het in de gaten houden van hun kinderen, de luidspreker van de camera ook kunnen gebruiken om met hun kinderen te praten, en een tijdje waren ze behoorlijk blij met hun keuze. Op 4 december slaagde een niet-geïdentificeerde cybercrimineel er echter in om de camera's van Blakeley te hacken en over te nemen. Ten eerste, de hacker speelde een aantal griezelige muziek, en hij later sprak tot de kinderen, die de beelden shows, waren doodsbang.

Een paar dagen later bevonden Todd Craig en Tania Amador, een echtpaar uit Texas, zich in een vergelijkbare situatie nadat hun bewakingsapparatuur was gehackt en er waren berichten dat andere Ringcamera-eigenaren door de aanval werden geraakt. Dit zijn een van de meest enge cybersecurity-incidenten die we de laatste tijd hebben gezien, en, niet verrassend, is de terugslag tegen Ring aanzienlijk geweest.

Het kan echter heel goed erger worden, want vorige week kondigden de twee koppels, samen met andere eigenaren van gehackte Ring-camera's, aan dat ze de verkoper van Amazon zouden aanklagen. Maar is Ring alleen verantwoordelijk voor de aanval?

Ring zei dat zijn systemen niet werden overtreden

Niet verrassend, in de nasleep van de aanval, begon Ring een onderzoek en binnen ongeveer een week kondigde het aan dat de engerd die met 8-jarigen via de beveiligingscamera van iemand anders sprak, er nooit in geslaagd is de beveiligingssystemen van de verkoper te breken. In de blogpost stond dat hij de camera overnam door gebruikersnaam- en wachtwoordcombinaties van een andere dienst te nemen en ze uit te proberen op de Ring-accounts van het slachtoffer. Met andere woorden, ringcamera-eigenaars werden getroffen door een opvallende aanval.

Dit is nog een ander bewijs van hoe nalatig we zijn tegenover de mogelijke gevolgen van het verbinden van een groot aantal gadgets met internet. Door hun wachtwoorden opnieuw te gebruiken op meer dan één online service, maakten de eigenaren van de gehackte camera's de aanval voor het opvullen van referenties mogelijk en maakten ze het leven van de hackers nog eenvoudiger door geen tweefactorauthenticatie in te stellen. Een paar weken na de aanval belandden sommige Ring-wachtwoorden op een donkere web-marktplaats en het bleek dat velen van hen angstaanjagend gemakkelijk te raden waren, wat het punt naar huis nog verder belemmert.

Met andere woorden, hoewel ze gelijk hebben om zich boos te voelen over de grove inbreuk op de privacy waarmee ze te maken hadden, moeten de eigenaren van de gehackte camera's ook hun deel van de schuld op zich nemen.

Het gaat niet alleen om hergebruik van wachtwoorden

Je kunt zien dat de houding van mensen ten opzichte van hun eigen privacy en veiligheid verre van ideaal is, maar dit is niet echt nieuws. Het probleem bestaat nu al jaren en het lijkt erop dat mensen gewoon niet bereid zijn om samen aan de slag te gaan. Serviceproviders en hardwareleveranciers hebben echter meer dan een paar methoden om mensen weg te duwen om dezelfde oude fouten te maken. Ze kunnen bijvoorbeeld wachtwoordregels opleggen die mensen ervan weerhouden hun accounts te beschermen met iets eenvoudigs en gemakkelijk te raden, zoals "12345678" en "wachtwoord". Volgens TechCrunch kun je deze wachtwoorden echter nog steeds gebruiken, bijna twee maanden na de hackincidenten in december. De leverancier werd ook bekritiseerd voor het gebruik van sms-berichten als medium voor 2FA-eenmalige wachtwoorden, wat niet de beste optie is, vooral wanneer een gecompromitteerde account zulke ernstige gevolgen kan hebben voor de privacy.

Daarover gesproken, er zijn andere voorzorgsmaatregelen die Ring-bezitters een beetje veiliger hadden kunnen houden. Veel online services waarschuwen gebruikers wanneer hun accounts worden geopend vanaf een onbekend apparaat, en bijna allemaal leggen ze een limiet op voor het aantal mislukte inlogpogingen van één IP. Volgens de rechtszaak heeft Ring deze maatregelen echter niet geïmplementeerd.

Als er iets is dat we kunnen leren van het hele incident, is het dat zowel leveranciers als gebruikers alles in huis hebben om eenvoudige aanmeldingsaanvullingen te voorkomen en ernstige privacyproblemen te voorkomen. Helaas gebruikten noch Ring noch haar klanten deze tools, en de gevolgen waren behoorlijk verschrikkelijk.