Scoperta grossa falla di sicurezza in uno dei GPS tracker più venduti sul mercato

La proliferazione dei GPS tracker ha reso molto semplice tenere traccia di un oggetto, di un’auto o anche di un animale, sfruttando semplicemente uno smartphone. Grazie infatti a un chip GPS e a un modem 2G, i tracker possono condividere in tempo reale la posizione sfruttando semplicemente gli SMS. Purtroppo però anche questi gadget non sono esenti da problemi legati alla sicurezza.

Alcuni ricercatori di sicurezza hanno scoperto che un popolare GPS tracker, utilizzato come allarme di panico per i pazienti anziani, per monitorare i bambini e per monitorare i veicoli, contiene difetti di sicurezza tanto severi che dovrebbe essere richiamato.

Purtroppo non possiamo fornirvi un nome esatto dell’azienda coinvolta, dal momento che questo particolare GPS tracker viene venduto ad altre aziende che pi, ponendovi il proprio brand, lo immettono sul mercato. Alcune di queste aziende sono Pebbell di HoIP Telecom, OwnFone Footprint e SureSafeGo.

Si tratta di un tracker che usa una scheda SIM per connettersi alla rete cellulare 2G / GPRS. Sebbene nessuno dei dispositivi abbia connettività Internet e non sia quindi esposto a siti di monitoraggio come Shodan, è comunque possibile accedervi e controllarli da remoto via SMS.

I ricercatori della società per la sicurezza informatica Fidus Information Security del Regno Unito affermano che il dispositivo può essere indotto a capovolgere la sua posizione in tempo reale da chiunque gli invii un messaggio di testo con una parola chiave. Attraverso un altro comando, chiunque può chiamare il dispositivo e ascoltare in remoto il suo microfono incorporato senza avvisare nessuno.

Un altro comando può staccare del tutto e da remoto il segnale della cella, rendendo il dispositivo effettivamente inutilizzabile.

Sebbene il dispositivo possa essere protetto con un PIN, non è abilitato per impostazione predefinita. Peggio ancora, i ricercatori hanno scoperto che il dispositivo può essere resettato da remoto senza bisogno di un PIN – aprendo il dispositivo a ulteriori comandi.

“Questo dispositivo è commercializzato per proteggere i più vulnerabili eppure chiunque può localizzare e ascoltare la vita di migliaia di persone a loro insaputa“, ha dichiarato Andrew Mabbitt di Fidus. “Nell’epoca in cui viviamo, tutto è collegato in un modo o nell’altro e sembra che stiamo lasciando la sicurezza indietro: e questo non andrà a finirà bene.”

Per accedere a questi racket dunque è necessario conoscere solo il numero di telefono del dispositivo. Il team di Andrew Mabbitt ha dimostrato che è stato facile estrapolare centinaia di numeri telefonici funzionanti e collegati a dispositivi vulnerabili basati su un singolo dispositivo noto. “Abbiamo ipotizzato che questi numeri fossero stati acquistati in un lotto“, ha affermato l’articolo del team.