Für viele stellt der eigene Nachwuchs die Erfüllung aller Träume dar. Entsprechend gut sollten Eltern auf die Kleinen achtgeben. Schon lange helfen dabei Babyphones, mit denen man sofort mitbekommt, wenn das Kind in einem anderen Zimmer plötzlich anfängt zu weinen. Mittlerweile gibt es die Hilfslösungen auch mit Kamera und Videofeed. Einige von ihnen bergen aber ein hohes Sicherheitsrisiko durch Hacker:innen, wie jetzt bekannt geworden ist.
Babyphones: Es drohen Hacker-Angriffe
Einem Bericht der Expert:innen von Bitdefender zufolge haben sie sich einige Babyphones vorgenommen und sie näher untersucht. Dabei fielen ihnen zwei Modelle des Herstellers Nooie ganz besonders auf. Bei ihren Nachforschungen stellten sie fest, dass Unbefugte durch schwere Sicherheitslücken Zugriff auf den Videostream sowie auf das Betriebssystem erlangen könnten.
Im Mittelpunkt steht dabei das MQTT-Protokoll, mit dem sich die Kameras beim MQTT-Server anmelden und von dort eine URL erhalten können. An diese URL senden sie dann die Videoübertragung aus dem Kinderzimmer. Doch der Server erlaubt den Zugriff ohne Authentifizierung.
Stellen Hacker:innen nun eine Subscribe-Anfrage für das Topic /device/init, enthalten sie Nutzerkonten und Kamera-IDs von allen Geräten, die gegenwärtig online sind. Weitere Anfragen könnte es ihnen dann ermöglichen, Kameras einen Server als Ziel zu nennen, den sie selbst kontrollieren. So könnte also der Stream der Babyphones unbemerkt an eine unbekannte Person mitgesendet werden.
Auch Amazon Web Services betroffen
All diese Schritte hat das Team von Bitdefender selbst nachvollzogen. Zusätzlich fanden sie heraus, dass Zugangsdaten zur Cloud von AWS (Amazon Web Services) ausspioniert werden konnten. Dorthin können nämlich Aufnahmen hochgeladen und gespeichert werden.
Betroffen sind bislang die Kameras PC100A (Nooie Cam 360) Version 1.3.88 und IPC007A-1080P (Nooie Cam Indoor 1080p) mit der Version 2.1.94. Es ist nicht auszuschließen, dass weitere Modelle die gleichen Makel aufweisen.
Und was macht Nooie?
Das Team von Bitdefender hat die Verantwortlichen bei Nooie bereits Ende 2020 auf die Gefahren hingewiesen. Das Unternehmen reagierte erst im zweiten Anlauf und erhielt dann von Bitdefender entsprechende Informationen und Beweise für die Problematik. Fast genau ein Jahr später hakte man nach und wollte wissen, wie weit die Lösung des Problems gediehen ist. Darauf gab es aber keine Reaktion mehr. Nun entschloss man sich dazu, das Sicherheitsrisiko publik zu machen.
Laut Bitdefender könnten mindestens 50.000 bis 100.000 Haushalte betroffen sein – so oft wurde die entsprechende Babyphone-App von Nooie allein im Google Play Store heruntergeladen. Die Zahlen des Apple Stores sind nicht öffentlich, doch es ist davon auszugehen, dass auch dort die Software auf viele Interessenten gestoßen ist.
Ob Nooie doch schon Schritte zur Schließung der Sicherheitslücke vorgenommen hat, ist nicht klar. Eine schnelle Recherche zeigt jedoch, dass die Nooie Cam aus den Stores von Apple und Google verschwunden ist.
Sicherheitsvorkehrungen: Das musst du tun
Solltest du dennoch über eines der gefährdeten Babyphones verfügen, gibt es einige Maßnahmen, die jetzt angehen musst. Bitdefender empfiehlt bei Heimanwendung die entsprechenden Geräte vom lokalen oder dem Gastnetz zu isolieren.
Das kannst du mit einer eigenen WLAN-SSID nur für sogenannte IoT-Geräte („Internet of Things“ – „Internet der Geräte“) erreichen. IoT beschreibt die Verknüpfung von physischen Objekten mit einer virtuellen Repräsentation in einer Internet-ähnlichen Struktur. Ferner sollten Nutzer:innen regelmäßig nach Software-Updates Ausschau halten.
Durch die permanente Verbindung alltäglicher Geräte mit dem Internet steigen natürlich auch die Gefahren für Cyberkriminalität. Oberste Priorität sollte von daher die Sicherheit haben. Google setzt da offenbar auf Zwang und trifft eine Maßnahme für Millionen Nutzer:innen.
Quelle: Bitdefender