Dodał konto. Google zapłacił mu ponad 470 tys. zł

Analityk bezpieczeństwa otrzymał od Google'a nagrodę w wysokości 107,5 tys. dolarów. Odkrył bardzo poważną lukę bezpieczeństwa głośników z serii Google Home. Pozwalała ona nawet na dostęp do mikrofonu i podsłuchiwanie użytkowników.

Luka bezpieczeństwa Google Home

Luka pozwalała atakującemu, który znajdował się w danej sieci bezprzewodowej, na zainstalowanie tzw. backdoora. Ten pozwalał na uzyskanie zdalnego dostępu do urządzenia i wysyłanie na niego poleceń, w tym między innymi uzyskanie dostępu do mikrofonu  i wykonywanie dowolnych żądań HTTP w sieci LAN. W dużym uproszczeniu problemem było oprogramowanie głośników, które pozwalało na dodanie fałszywego konta Google.

Oczywiście samo dostanie się do sieci WiFi danego użytkownika, nie było łatwe. Jednak dało się do obejść za sprawą prostego ataku phishingowego, po którym nieświadoma osoba instalowana na telefonie z Androidem fałszywą aplikację. Ta wykrywała obecność urządzeń z serii Google Home, a następnie wysyłała żądanie HTTP. W ten sposób możliwe było uzyskanie dostępu nie tylko do urządzenia, w tym także do mikrofonu.

Na szczęście luka została wykryta w styczniu 2021 roku i załatana 3 miesiące później, czyli w kwietniu. Dopiero teraz ją ujawniono, więc prawdopodobnie nie została wykorzystana do przeprowadzenia ataków.