Инженер в области искусственного интеллекта Эмилиос Хатзистаму обнаружил критическую брешь в системе безопасности популярной умной маски для сна, финансируемой через краудфандинг. Исследование показало, что из-за грубых ошибок в программном обеспечении конфиденциальные биометрические показатели пользователей могут стать доступными третьим лицам. Данный инцидент вновь поднимает вопрос о защищенности персональных данных в сегменте носимых IoT-устройств.
Технические детали и риски безопасности
Основной причиной уязвимости стало использование жестко закодированных общих учетных данных доступа (hardcoded credentials) в прошивке устройства. Это позволяет злоумышленникам обходить механизмы авторизации и получать несанкционированный доступ к облачной инфраструктуре производителя. В результате эксплуатации этой ошибки становятся возможными следующие действия:
- Перехват данных электроэнцефалограммы (ЭЭГ) пользователей в режиме реального времени.
- Доступ к истории сна и другим персональным метрикам здоровья.
- Удаленное управление аппаратными функциями устройства.
Электроэнцефалография — это методика регистрации электрической активности мозга, которая в данных устройствах используется для анализа фаз сна и улучшения его качества.
Угроза физического воздействия
Наиболее опасным аспектом выявленной проблемы является возможность удаленной активации функции электромиостимуляции (EMS). Теоретически хакер может активировать электрические импульсы без ведома и согласия владельца маски, что создает прямую угрозу физическому комфорту и безопасности пользователя. Эмилиос Хатзистаму уже передал все технические отчеты специализированной исследовательской компании для дальнейшего анализа и взаимодействия с разработчиком.
Обнаруженная проблема подчеркивает распространенность системных недоработок при проектировании интеллектуального оборудования, где вопросы кибербезопасности часто отходят на второй план после функциональности.
Данный случай демонстрирует необходимость введения более строгих стандартов безопасности для производителей потребительской электроники. Пока исправления не будут внедрены на уровне серверной части и обновлений прошивки, приватность данных ЭЭГ тысяч пользователей остается под угрозой. Эксперты рекомендуют с осторожностью относиться к использованию гаджетов, собирающих медицинские данные, если их производитель не прошел независимый аудит безопасности.