Una vulnerabilità critica nei dispositivi domestici intelligenti Shelly ha lasciato oltre 5,2 milioni di case europee a rischio di accesso non autorizzato. I ricercatori di sicurezza di Pen Test Partners hanno scoperto che l’ultima generazione (Gen 4) di dispositivi Shelly mantiene un punto di accesso Wi-Fi nascosto permanentemente attivo, anche dopo la connessione a una rete domestica. Questa backdoor consente a chiunque si trovi nelle vicinanze di aggirare le misure di sicurezza, ottenendo potenzialmente il controllo di porte, cancelli e altri dispositivi connessi.
La spiegazione della backdoor nascosta
A differenza dei vecchi modelli Shelly che spegnevano automaticamente il punto di accesso temporaneo dopo la configurazione, i dispositivi Gen 4 lo lasciano in funzione a tempo indeterminato. Questo difetto di progettazione crea un punto di ingresso invisibile per gli hacker, consentendo loro di sfruttare la rete del proprietario della casa a loro insaputa.
Le conseguenze sono gravi. Un utente malintenzionato potrebbe utilizzare questo punto di accesso aperto per sbloccare serrature intelligenti, aprire porte di garage o disattivare sistemi di sicurezza, il tutto senza attivare allarmi o lasciare tracce evidenti.
Rischio di rete più ampio
Il problema si estende oltre i dispositivi Shelly. Un singolo dispositivo di quarta generazione compromesso può fungere da gateway per un’intera rete domestica intelligente, inclusi dispositivi di altri produttori. Molte famiglie europee mescolano marchi di case intelligenti, il che le rende particolarmente vulnerabili. Il problema non riguarda solo il guasto di un prodotto; si tratta di guasti a cascata tra sistemi interconnessi.
Risposta ritardata, responsabilità dell’utente
Pen Test Partners ha informato Shelly della vulnerabilità, spingendo l’azienda a rilasciare il firmware 1.8.0 come soluzione. Tuttavia, l’aggiornamento richiede l’installazione manuale e la maggior parte degli utenti non sa di dover agire. Secondo Ken Munro, fondatore di Pen Test Partners, Shelly è stata lenta nel comunicare il problema a causa di problemi di reputazione.
Shelly afferma che la sua app mobile guida gli utenti a proteggere correttamente i dispositivi, ma ciò si basa sul rispetto delle procedure di configurazione ufficiali. Gli utenti che configurano manualmente i propri dispositivi ricevono avvisi sulla protezione del punto di accesso. Un prossimo aggiornamento del firmware disabiliterà automaticamente il punto di accesso aperto dopo un periodo di timeout, ma fino ad allora i proprietari di casa dovranno prendere l’iniziativa.
La tendenza crescente delle vulnerabilità dell’IoT
Questo non è un incidente isolato. I dispositivi domestici intelligenti sono sempre più presi di mira dagli hacker, con i campanelli Amazon Ring e le telecamere di sicurezza Dahua tra le vittime recenti. Il problema di fondo è la corsa al mercato senza dare priorità alle misure di sicurezza di base.
I produttori spesso raccolgono dati degli utenti per migliorare i prodotti, ma questa fuga di dati può rivelare modelli comportamentali sfruttati dagli hacker. Il problema non sono solo i difetti hardware; sono anche cattive pratiche di gestione dei dati.
“Abbiamo riscontrato problemi simili negli inverter solari e abbiamo persino riscontrato una vulnerabilità simile in un’auto più di 10 anni fa.” – Ken Munro, partner del test della penna
L’aumento dei dispositivi connessi significa più superfici di attacco per gli autori malintenzionati. Fino a quando i produttori non daranno priorità alla sicurezza per impostazione predefinita, i consumatori rimarranno vulnerabili.
La conclusione è chiara: la sicurezza domestica intelligente è forte quanto il suo anello più debole. Fino a quando le aziende non risolveranno questi difetti fondamentali e i consumatori non adotteranno misure proattive per proteggere le proprie reti, le case intelligenti rimarranno un obiettivo primario per gli hacker.
