6 milionów urządzeń w UK było podatnych na ataki przez prawie 1,5 roku
Brytyjski dostawca usług szerokopasmowych, Sky, przez prawie 18 miesięcy nie poinformował swoich klientów o podatnościach pozwalających na dostanie się do ich sieci domowych. Problem mógł mieć wpływ na te osoby, które nie zmieniły domyślnego hasła administratora na swoich routerach.
O problemach brytyjskiego dostawcy poinformowała firma Pen Test Partners. W swoim wpisie podała, że 6 milionów routerów Sky było podatnych na lukę związaną ponownym przypisaniem adresu w DNS. Problem umożliwiał przejęcie sieci domowej klienta przez hakerów.
Zmiana hasła to podstawa
Pen Test Partners zauważyli, że wielu użytkowników Sky nie zmieniło domyślnego hasła administratora na swoich urządzeniach. Podatne modele routerów, które miały być podatne na atak obejmują urządzenia:
- Sky Hub 3 (ER110)
- Sky Hub 3.5 (ER115)
- Booster 3 (EE120)
- Sky Hub (SR101)
- Sky Hub 4 (SR203)
- Booster 4 (SE210)
Żeby jednak hakerzy mogli skorzystać z opisanej podatności, użytkownik musiał kliknąć złośliwy link lub odwiedzić odpowiednio preparowaną witrynę z elementem iframe. To z jego pomocą przestępcy inicjowali połączenie z domeną i wysyłali odpowiednie żądanie DNS, dzięki któremu przeglądarka ofiary nawiązywała połączenie z routerem.
SkyFail, czyli brak reakcji
Dostawca usług Sky, pomimo wielokrotnych zgłoszeń z opisem problemu, nie uznał za kwestię priorytetową jego załatania. Po wielokrotnym zwodzeniu testerów, ostatecznie podatność została załatana po 18 miesiącach. Co ciekawe, Pen Test Partners przyznało, że udało im się przyspieszyć cały proces tylko dzięki zaangażowaniu w sprawę zaufanego dziennikarza.
Chociaż cała sytuacja miała miejsce w Wielkiej Brytanii, także użytkownicy w naszym kraju mogą z niej wyciągnąć kilka wniosków. Sytuacja pokazuje najlepiej, że silne hasło, które dodatkowo nie jest hasłem domyślnym, może nas uchronić przed wieloma problemami.
Osobną kwestią jest podejście samego dostawcy, który ugiął się dopiero po informacji, że sprawą zajmą się dziennikarze. To może sugerować, że niektóre firmy nadal bardziej obawiają się o swój wizerunek niż dbają o rzeczywiste dobro użytkowników.