Anzeige

Liebe

Bei zwei vernetzten Sex-Spielzeugen haben ESET-Forscher gravierende Sicherheitslücken gefunden.

Der We-Vibe "Jive" und der Lovense "Max" erzielen während der Corona-Pandemie hohe Verkaufszahlen. Das immense Interesse ruft auch Cyberkriminelle auf den Plan. Die Schwachstellen fanden die ESET-Forscher in den Apps, die die beiden Sex-Spielzeuge steuern. Hierdurch könnten Angreifer Malware auf die genutzten Smartphones installieren und auch Daten stehlen. Neben möglichen körperlichen Schäden durch den Missbrauch der Geräte besteht die Gefahr, mit gestohlenen Fotos, Chats oder anderen Daten erpresst zu werden. Beide Hersteller erhielten von ESET Informationen zu den Schwachstellen und haben diese bereits geschlossen. 

"Gerade bei der Entwicklung intelligenter Sex-Spielzeuge muss IT-Sicherheit eine hohe Priorität genießen. Die möglichen Gefahren sind für den Anwender hoch, niemand möchte mit intimen Aufnahmen oder Gesprächen erpresst werden", erklären die ESET-Forscherinnen Denise Giusto und Cecilia Pastorino. "Bei den meisten aktuellen Sex-Spielzeugen wurde von den Herstellern der Sicherheitsaspekt sträflich vernachlässigt. Dies muss sich mit der Weiterentwicklung dieser Geräte dringend ändern."

Geräte sind für Kriminelle attraktiv

Seit dem Aufkommen fortschrittlicher Modelle von Sexspielzeugen, die Apps, Messaging, Videochats und webbasierte Interkonnektivität beinhalten, werden die Geräte für Cyberkriminelle immer attraktiver und lassen sich leichter ausnutzen. Datendiebstähle in diesem Bereich können für den Benutzer verheerend sein, wenn Informationen wie sexuelle Orientierung, sexuelle Verhaltensweisen und intime Fotos durchsickern. Um die Privatsphäre zu schützen, ist es daher unerlässlich, schon bei der Planung und Entwicklung dieser Devices dem Thema IT-Sicherheit eine hohe Priorität einzuräumen.

We-Vibe

Die Forscher stellten fest, dass der We-Vibe "Jive" ständig seine Anwesenheit ankündigt und so mit einem Bluetooth-Scanner auffindbar war. Potenzielle Angreifer könnten damit das Gerät identifizieren und die Signalstärke nutzen, um zum Träger zu gelangen. Das Gerät verwendet die Bluetooth-Low-Energy-Pairing-Methode (kurz: BLE). Hierbei ist es ohne Probleme möglich, den temporären Schlüsselcode, der von den Geräten während des Verbindungsaufbaus genutzt wird, zu verändern. So kann sich jedes Gerät mit dem "Jive" verbinden. Eine Authentifizierung ist nicht nötig. Die offizielle App des Herstellers wäre nicht erforderlich, um Kontrolle zu erlangen, hierzu genügt schon ein Browser. Dadurch ist das Gerät sehr anfällig für Man-in-the-Middle-Angriffe (MitM).

Ein weiteres Problem besteht beim Austausch zwischen Benutzer während Chatsitzungen. Die Anwender haben die Möglichkeit, Multimediadateien zu senden. Es besteht die Gefahr, dass dabei auch Informationen über die genutzten Geräte und die genaue Geolocation geteilt werden.

Lovense

Der Lovense "Max" kann sich mit einem entfernten Gegenstück synchronisieren. Das bedeutet, dass Angreifer die Kontrolle über beide Geräte übernehmen können, obwohl nur eines kompromittiert wurde. Beim Lovense-Gerät ist das Design der App eine Gefahr für die Privatsphäre der Nutzer. Es gibt die Optionen, dass Bilder ohne Wissen des Besitzers an Dritte weitergeleitet werden. Ebenso haben gelöschte oder blockierte Nutzer weiterhin Zugriff auf den Chat-Verlauf und alle freigegebenen Multimedia-Inhalte.

Auch dieses Gerät enthält keine Authentifizierung für BLE-Verbindungen, so dass es für MitM-Angriffe verwendet werden kann, um die Verbindung abzufangen, Befehle zu senden und die Motoren des Geräts zu steuern. Darüber hinaus wirft die Verwendung von E-Mail-Adressen in den Benutzer-IDs der App einige Datenschutzbedenken auf, da die Adressen im Klartext für alle an einem Chat beteiligten Telefone freigegeben werden.

www.eset.com/de


Artikel zu diesem Thema

Digitale Identität
Mär 11, 2021

Digitale Identität als Schlüssel zum Erfolg im „New Normal“

Ein wesentlicher Erfolgsfaktor in Unternehmen, die sich während der Covid-19-Pandemie den…
Datenschutz
Mär 10, 2021

Instant Messenger für Unternehmen: Der Datenschutzvergleich

Es könnte so einfach sein: Praktisch die gesamte Belegschaft hat ohnehin schon WhatsApp…
Cyber Security
Mär 08, 2021

Neuartige Gefahren – und wie man sich schützt

Die persönlichen Daten zu schützen, wird immer schwieriger. Denn es entstehen ständig…

Weitere Artikel

Cybercrime

Cyberangriff auf die Rüstungsindustrie

Den Security-Experten von Proofpoint ist es nun gelungen, eine neue Social-Engineering-Attacke von TA456 (Threat Actor 456 – oft auch Imperial Kitten oder Tortoiseshell genannt) aufzudecken. Bei der Kampagne versuchten die Cyberkriminellen über mehrere Jahre…
Malware

UEFI-Malware bleibt Bedrohung für Privatanwender und Unternehmen

Mit dem Schadprogramm Lojax war das Unified Extensible Firmware Interface (UEFI) im Herbst 2018 in aller Munde. ESET Forscher hatten herausgefunden, dass Hacker mit neuartigen Angriffsmethoden die Firmware auf Mainboards infiltrieren und über diesen Weg die…
Cyber Security

Cyberangriffen vorbeugen und Schwachstellen erkennen

Viele Unternehmen sind sich der Schwachstellen in ihren IT-Anwendungen nicht bewusst. Wenn es jedoch an kritischer Transparenz an den Endpunkten mangelt, haben Cyberkriminelle leichtes Spiel.
Hackerangriff

Kritische und industrielle Infrastrukturen: Cyber-Risiken auf Allzeithoch

Ein neuer Bericht von Nozomi Networks Labs zeigt auf, dass die Cyberbedrohungen in der ersten Hälfte des Jahres 2021 mit alarmierender Geschwindigkeit zugenommen haben. Die Angriffe werden großenteils durch die neuen Ransomware-as-a-Service…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.