Уязвимость в трекерах Tile позволяет преследователям следить за владельцами устройств

Исследователи из Технологического института Джорджии обнаружили несколько конструктивных недостатков в трекерах Tile, которые могут быть использованы для слежки за владельцами устройств.

Как сообщает Wired, исследователи Акшая Кумар, Анна Рэймейкер и Майкл Спектер обнаружили проблемы, затрагивающие как отдельные устройства Tile, так и методы коммуникации этих устройств с инфраструктурой компании Life360, владеющей брендом Tile.

Трио исследователей

«обнаружило, что каждый трекер передает незашифрованный MAC-адрес и уникальный идентификатор, которые могут быть перехвачены другими Bluetooth-устройствами или радиочастотными антеннами вблизи трекера для отслеживания перемещений устройства и его владельца»,

Сбор такой информации является простым и распространенным явлением. The New York Times сообщала еще в 2019 году, что ритейлеры используют Bluetooth-маячки для отслеживания перемещений людей по своим магазинам, а так называемые «снифферы» легко доступны частным лицам. Такие устройства даже довольно распространены в системах умного дома.

Эти методы сбора данных о местоположении также обходят защитные меры, которые Tile добавила в свои устройства в 2023 году. Эти защиты, введенные компанией после нескольких громких инцидентов использования трекеров ворами, преследователями и другими преступниками, применяются только к неправомерному использованию ее продуктов.

Но в данном случае речь идет о другом. Эти меры защиты призваны усложнить использование трекеров Tile для слежки, например, когда устройство подкладывают в чужую сумку. Однако те же самые меры не могут определить, общается ли Tile с внешне безобидным Bluetooth-устройством, пока он находится у законного владельца.

Это была не единственная проблема. Wired сообщает, что

«местоположение трекера, его MAC-адрес и уникальный идентификатор также передаются в незашифрованном виде на серверы Tile, где, по мнению исследователей, эта информация хранится в открытом виде, что дает Tile возможность отслеживать местоположение трекеров и их владельцев, хотя компания заявляет, что не обладает такой возможностью».

Проблема, конечно, заключается в разнице между заявлением об отсутствии такой возможности в настоящее время и гарантией, что эта возможность не будет разработана в будущем. Шифрование этих данных защитило бы их не только сейчас, но и гарантировало, что исторические данные не могут быть неправомерно использованы Life360, киберпреступниками или даже государственными органами в будущем.

ИИ: В 2025 году проблема безопасности IoT-устройств остается актуальной. Обнаруженные уязвимости в Tile подчеркивают, что даже популярные бренды могут пренебрегать базовыми принципами безопасности данных. Потребителям стоит более внимательно относиться к выбору устройств для отслеживания и требовать от производителей прозрачности в обработке персональных данных.