Jeszcze kilka lat temu inteligentne zegarki, opaski sportowe czy okulary rozszerzonej rzeczywistości kojarzyły się głównie z monitorowaniem aktywności fizycznej i wygodnym odbieraniem powiadomień. Dziś urządzenia typu wearable stały się pełnoprawnymi komputerami, wyposażonymi w mikrofony, moduły GPS, Bluetooth, Wi-Fi, NFC, a często również 4/5G oraz możliwość instalowania aplikacji.

Autor: 7 min czytania

Co za tym idzie, z punktu widzenia cyberbezpieczeństwa są one znacznie ciekawszym celem niż dotychczas. Analitycy SOCRadar zwracają uwagę, że rosnąca popularność tego typu urządzeń oznacza również wzrost powierzchni ataku – zarówno dla użytkowników indywidualnych, jak i organizacji.

Wearable to kolejne urządzenie w firmowej sieci

Coraz więcej pracowników korzysta ze smartwatchy nie tylko prywatnie, ale również podczas pracy.

Zegarki synchronizują wiadomości e-mail, wyświetlają powiadomienia z komunikatorów, umożliwiają zatwierdzanie logowań MFA, odbieranie połączeń telefonicznych, a niekiedy nawet odczytywanie fragmentów dokumentów służbowych.

Choć wydaje się to wygodne, w praktyce oznacza, że kolejne urządzenie uzyskuje dostęp do firmowych danych. Jeśli smartwatch zostanie zgubiony, skradziony lub przejęty przez złośliwe oprogramowanie, informacje wyświetlane na jego ekranie również mogą trafić w niepowołane ręce.

W wielu organizacjach urządzenia noszone IoT pozostają poza zakresem standardowych polityk bezpieczeństwa, mimo że coraz częściej przetwarzają dane o podobnej wartości co smartfony.

Szczególnie cenne dane biometryczne

Nowoczesne zegarki i opaski zbierają znacznie więcej informacji niż liczba wykonanych kroków.

Monitorują tętno, poziom natlenienia krwi, jakość snu, sprawdzają lokalizację GPS, aktywność fizyczną, a nawet temperaturę ciała czy rytm serca. Z punktu widzenia cyberprzestępców są to niezwykle wartościowe dane, ponieważ mogą posłużyć do profilowania ofiary, przygotowania kampanii socjotechnicznych lub kradzieży tożsamości.

Jeszcze większym problemem jest fakt, że większość tych informacji trafia do usług chmurowych producentów aplikacji. Ewentualny wyciek z jednej platformy może ujawnić bardzo szczegółowy obraz codziennego życia użytkownika – od miejsca zamieszkania, przez godziny pracy, aż po regularnie odwiedzane lokalizacje.

Bluetooth nadal pozostaje słabym punktem

Większość urządzeń IoT, które nosimy, komunikuje się ze smartfonem za pomocą Bluetooth.

Choć współczesne wersje tego standardu są znacznie bezpieczniejsze niż ich poprzednicy, błędy implementacyjne nadal się zdarzają. W przeszłości analitycy wielokrotnie wykazywali możliwość przechwycenia komunikacji, podszywania się pod zaufane urządzenia czy wykorzystania podatności do przejęcia części funkcji zegarka.

Jeżeli urządzenie korzysta z przestarzałego oprogramowania lub producent nie publikuje regularnych aktualizacji, ryzyko wzrasta. Problem dotyczy przede wszystkim tańszych modeli, które po kilku miesiącach od premiery przestają otrzymywać poprawki bezpieczeństwa.

Aplikacje firm trzecich zwiększają powierzchnię ataku

Podobnie jak smartfony, inteligentne zegarki pozwalają na instalację dodatkowych aplikacji. Nie wszystkie z nich są jednak bezpieczne. Część wymaga bardzo szerokich uprawnień – dostępu do kontaktów, lokalizacji, mikrofonu, kalendarza czy danych zdrowotnych. W praktyce użytkownicy często akceptują wszystkie żądania bez zastanowienia, traktując zegarek jedynie jako prosty gadżet.

Dla cyberprzestępców to doskonała okazja. Złośliwa aplikacja może zbierać dane o użytkowniku, monitorować jego aktywność lub przekazywać informacje do zewnętrznych serwerów, pozostając praktycznie niezauważona.

Wearable mogą ułatwiać ataki socjotechniczne

Dane zbierane przez takie urządzenia mają jeszcze jedną wartość – pomagają lepiej poznać przyszłą ofiarę.

Znajomość codziennych tras, godzin aktywności czy lokalizacji biura może znacząco ułatwić przygotowanie wiarygodnego phishingu lub ataku typu spear phishing. Przestępca dysponujący takimi informacjami jest w stanie przygotować wiadomość wyglądającą jak przypomnienie z siłowni, powiadomienie od przewoźnika czy komunikat związany z konkretnym wydarzeniem, w którym uczestniczy użytkownik.

Pokazuje to, że dane biometryczne i lokalizacyjne mogą być równie cenne jak adres e-mail czy numer telefonu.

Jak organizacje mogą ograniczyć ryzyko?

Całkowite zakazanie korzystania ze smartwatchy w miejscu pracy nie zawsze jest realnym rozwiązaniem. Znacznie lepszym podejściem będzie uwzględnienie urządzeń wearable w politykach bezpieczeństwa.

W środowiskach o podwyższonych wymaganiach warto ograniczyć możliwość korzystania z urządzeń wyposażonych w mikrofony lub aparaty podczas spotkań dotyczących poufnych projektów. Coraz częściej stosuje się również rozwiązania MDM i UEM pozwalające kontrolować, z jakimi urządzeniami mogą synchronizować się firmowe smartfony. Nie należy zapominać o regularnych aktualizacjach firmware oraz instalowaniu aplikacji wyłącznie z oficjalnych sklepów producentów.

Czy zagrożenie będzie rosło?

Wszystko wskazuje na to, że tak.

Rynek urządzeń wearable rozwija się bardzo dynamicznie. Do smartwatchy dołączają inteligentne okulary, pierścienie monitorujące stan zdrowia, opaski medyczne, glukometry oraz kolejne urządzenia IoT noszone przez użytkowników praktycznie przez całą dobę.

Każde z nich generuje nowe dane, komunikuje się z chmurą i może uzyskać dostęp do kolejnych informacji o właścicielu. Oznacza to, że powierzchnia ataku będzie systematycznie rosła, a cyberprzestępcy z pewnością spróbują to wykorzystać.

Podsumowanie

Urządzenia wearable przestały być jedynie elektronicznymi gadżetami dla miłośników nowych technologii. Dziś przechowują wiadomości, dane zdrowotne, informacje o lokalizacji oraz elementy procesu uwierzytelniania użytkownika.

Sprawia to, że powinny być traktowane jako pełnoprawne elementy ekosystemu bezpieczeństwa organizacji. Odpowiednie zarządzanie urządzeniami, regularne aktualizacje i świadome korzystanie z aplikacji mogą znacząco ograniczyć ryzyko, jednak wraz z rosnącą popularnością smartwatchy i innych nowoczesnych urządzeń możemy spodziewać się również coraz większej liczby zagrożeń wymierzonych właśnie w tę kategorię sprzętu.