A VTech hongkongi játékgyártó gyerekeknek való tableteket és okosórákat árul. A gyerek ezeken üzenetet, fotót és hangfelvételt küldhet a szülő telefonjára. Ehhez a szülőnek regisztrálnia kell: nevet, címet, e-mail-címet ad meg, a gyerekről pedig nevet, nemet, születésnapot, és fotót is készít. 2015 novemberében mindez néhány perc alatt egy hacker kezébe került.
„Ez túl könnyű volt”
A VTech tabletjeit egy internetes fórumon lelkes hobbisták szedték szét: forrasztópákával rootot szereztek rajtuk, és még a régi Doomot is elindították. A fórum aztán egy másfajta hackert is odavonzott. Ő arra figyelt fel, hogy a tabletek a planetvtech.com oldallal kommunikálnak. Kipróbált rajta egy automatikus SQL-befecskendezéses szkriptet, és az elsőre működött. Pár perc múlva teljes rendszergazdai hozzáférése volt a szerverhez, onnan pedig a cég belső adatbázisaihoz is eljutott.
Lemásolta őket, és csak otthon, nyugodtan nézte át, mit talált. Egy táblában 4,8 millió szülő adatai voltak: név, e-mail, lakcím, IP-cím, jelszó és biztonsági kérdés. Egy másikban gyerekek neve, neme és születési dátuma, a szülőhöz kapcsolva. Így meg lehetett mondani, melyik ötéves gyerek hol lakik.
Nem eladta, hanem szólt
A hacker inkább dühös volt, mint izgatott. Úgy gondolta, ha szól a VTechnek, a cég eltussolja a dolgot. Ezért névtelenül Lorenzo Franceschi-Bicchierai-hoz, a Motherboard újságírójához fordult, és átadta neki az adatokat. Azt kérte, hogy a cégnek muszáj legyen kijavítania a hibát.
Az újságíró Troy Hunttal, a haveibeenpwned.com üzemeltetőjével ellenőriztette az adatokat. Hunt saját feliratkozói közt talált olyanokat, akik szerepeltek a listán, és ők megerősítették, hogy valódiak az adataik. Az is kiderült, hogy a VTech oldala szinte minden alapszabályt megszegett:
- a jelszavakat só nélküli MD5-tel tárolták, ami gyakorlatilag visszafejthető;
- az oldal sehol nem használt HTTPS-t;
- a szoftver alapja egy évek óta nem támogatott ASP.NET-verzió volt;
- egy hibás bejelentkezés után az oldal kiírta a mögötte futó SQL-lekérdezést.
Később még rosszabb is kiderült. A hacker egy 190 gigabájtos könyvtárban több mint százezer gyerekfotót, egy évre visszamenő csevegést és több ezer hangfelvételt talált, amelyeken gyerekek beszélnek a tabletjükbe.
A VTech válasza
A cég napokig nem válaszolt az újságírónak. Végül megerősítette a betörést, három weboldalát és az alkalmazásboltját több mint egy hónapra leállította, majd bevont egy incidenskezelő céget. Az érintett gyerekfiókok számát utólag 6,3 millióra emelte. A szerződési feltételeibe ezután nagybetűvel beírta: a felhasználó tudomásul veszi, hogy az oldalon küldött adatok nem biztonságosak. Jogászok szerint ez a záradék nem sokat ér.
2015 decemberében Angliában letartóztattak egy 21 éves férfit. Később kiderült, hogy a VTech-ügyben csak rendőrségi figyelmeztetést kapott. Az adatok soha nem bukkantak fel a darkneten. 2018-ban az amerikai FTC 650 000 dolláros bírságot szabott ki a VTechre a gyerekek online adatainak védelméről szóló törvény (COPPA) megsértése miatt, és húsz évre kötelező biztonsági auditot írt elő a cégnek.
Mit tanulhat ebből egy magyar cég?
- Az SQL-befecskendezés ma is az egyik leggyakoribb és legkönnyebben kihasználható hiba. Automatikus eszközök percek alatt megtalálják, és nem kell hozzá különösebb tudás.
- Ne gyűjtsön több adatot, mint amire szüksége van. Amit nem tárol, azt nem is lophatják el. Ez a GDPR alapelve is.
- A „mi csak egy játékgyártó vagyunk” nem mentség. Ha gyerekek, ügyfelek vagy betegek adatait kezeli, a felelősség az Öné.
- Legyen egy cím, ahová a hibát be lehet jelenteni (például security@cegnev.hu vagy egy security.txt fájl). Aki talál valamit, ne az újságíróhoz fusson vele.
Weboldalak, webshopok és webes alkalmazások ilyen hibáinak keresésével a testvéroldalamon, a webpentest.hu-n foglalkozom.