אנקר (Anker) מודה באופן רשמי כי מצלמות האבטחה של Eufy, מותג הבית החכם ופתרונות האבטחה של החברה, אינן מאובטחות כפי שהם טענו ואף הכחישו עד כה.
ההודאה באה בתגובה לאיום מצד אתר The Verge לפרסם כתבה על ההכחשות ואי המענה של החברה על בעיות אבטחת המידע של מצלמות האבטחה של Eufy.
על מנת להבין את הפרשה כולה נצטרך לחזור קצת לאחור. בסוף חודש נובמבר האחרון, חוקר האבטחה פול מור (Paul Moore) פרסם כי בניגוד להבטחה של Eufy, הצילומים ממצלמות האבטחה של החברה אינם נשמרים באופן מקומי בלבד אלא משודרים גם לשרתי החברה, זאת בנוסף לעובדה כי ניתן לגשת באופן לא מאובטח לוידאו המשודר.
בשלב הראשון החברה ציינה כי מדובר בטענה שאינה אפשרית מאחר שמצלמות החברה מאובטחות עם הצפנה “ברמה צבאית” וכי שידורים שנשלחו לשרתי החברה נועדו לתצוגת התראות למכשירי המשתמשים בלבד. אך בהמשך החברה פשוט העלימה את ההבטחות לפרטיות מעמוד המוצר שלה.
עכשיו, בתגובה לאיומים של The Verge לכתוב על התחמקותה של החברה מההבטחות שלה לפרטיות המשתמשים במצלמות Eufy, החברה הודתה בסדרת מיילים שעברו בין אנקר ואתר The Verge כי מצלמות האבטחה שלה אכן לא עמדו ברמת ההצפנה והפרטיות אותה הבטיחה למשתמשים, אך היא פועלת לתיקון הנושא.
You have some serious questions to answer @EufyOfficial
Here is irrefutable proof that my supposedly "private", "stored locally", "transmitted only to you" doorbell is streaming to the cloud – without cloud storage enabled.#privacyhttps://t.co/u4iGgkWkJB
— Paul Moore – Security Consultant (@Paul_Reviews) November 23, 2022
בעוד שמצלמות האבטחה של אנקר שלחו את הוידאו עם הצפנה מקצה לקצה לאפליקציה הסלולרית של החברה במכשירי המשתמשים, במידה והמשתמשים נכנסו דרך הפורטל המקוון בדפדפן שלהם, ההצפנה לא הייתה פעילה למעשה. הדבר ישתנה עם שחרור עדכונים לכלל מצלמות האבטחה של החברה לשימוש בתקן ה-WebRTC שמוצפן בתור ברירת מחדל.
החברה אף התנצלה על חוסר התגובה שלה לקהילת המשתמשים והבטיחה להשתפר בעתיד תוך כדי שהיא מבטיחה בנוסף כי היא פועלת עם מומחה אבטחה מוביל על מנת ליצור דו”ח עצמאי על נושא האבטחה במצלמות החברה ואף לפתוח תוכנית “ציד באגים” (Bug bounty) בסוף החודש, שתתגמל משתמשים וחוקרי אבטחה שיאתרו באגים במוצריה.
“בלגן האבטחה” של אנקר ו-Eufy אולי יסתיים בשלום בעתיד הקרוב הודות לעדכון ה-WebRTC שיפעיל הצפנה כברירת מחדל במצלמות החברה, אך אין ספק כי זהו אירוע שחברות צריכות ללמוד ממנו כיצד לא לנהוג מול הלקוחות שלהן. במקום להודות בטעות ובעיות האבטחה שלה, אנקר פשוט התכחשה ואף העלימה אותן מהאתר שלה, דבר שנפתר רק עכשיו, כ-3 חודשים לאחר תחילת האירוע.
