{"id":27058,"date":"2024-03-04T18:23:20","date_gmt":"2024-03-05T00:23:20","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=27058"},"modified":"2024-03-04T18:23:20","modified_gmt":"2024-03-05T00:23:20","slug":"robot-toy-security-issue","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/robot-toy-security-issue\/27058\/","title":{"rendered":"Vulnerabilidades en un robot de juguete que permiten el espionaje"},"content":{"rendered":"

Los expertos de Kaspersky estudiaron recientemente la seguridad de un modelo de robot de juguete popular<\/a> y encontraron problemas graves que permit\u00edan a actores maliciosos hacer una videollamada al robot, secuestrar la cuenta de los padres o, potencialmente, incluso cargar firmware modificado. Sigue leyendo para conocer los detalles.<\/p>\n

Qu\u00e9 puede hacer un robot de juguete<\/h2>\n

El modelo de robot de juguete que estudiamos es una especie de h\u00edbrido entre un tel\u00e9fono inteligente o una tableta y un altavoz inteligente con ruedas que le permite moverse. El robot no tiene extremidades, por lo que la \u00fanica forma de interactuar f\u00edsicamente con el entorno es rodar por la casa.<\/p>\n

La pieza central del robot es una gran pantalla t\u00e1ctil que puede mostrar una IU de control, aplicaciones de aprendizaje interactivas para ni\u00f1os y una cara animada similar a una caricatura. Sus expresiones faciales cambian con el contexto. Hay que reconocer que los desarrolladores hicieron un gran trabajo con la personalidad del robot.<\/p>\n

Puedes controlar el robot con comandos de voz, pero algunas de sus funciones no los admiten, por lo que a veces debes coger el robot y tocar su cara<\/span> (la pantalla integrada).<\/p>\n

Adem\u00e1s de un micr\u00f3fono integrado y un altavoz bastante ruidoso, el robot tiene una c\u00e1mara gran angular colocada justo encima de la pantalla. Una funci\u00f3n clave publicitada por el proveedor es que los padres pueden hacer videollamadas con sus hijos directamente a trav\u00e9s del robot.<\/p>\n

En la parte frontal, entre la pantalla y las ruedas, hay un sensor de reconocimiento \u00f3ptico de objetos adicional que ayuda al robot a evitar colisiones. Dado que el reconocimiento de obst\u00e1culos es totalmente independiente de la c\u00e1mara principal, los desarrolladores a\u00f1adieron para mayor utilidad un obturador f\u00edsico que la cubre por completo.<\/p>\n

Por lo tanto, si te preocupa que alguien pueda estar mir\u00e1ndote o mirando a tus hijos a trav\u00e9s de esa c\u00e1mara (lamentablemente, con raz\u00f3n, como veremos m\u00e1s adelante), puedes cerrar el obturador. Si te preocupa que alguien pueda estar espiando a trav\u00e9s del micr\u00f3fono incorporado, puedes apagar el robot (a juzgar por el tiempo que tarda en reiniciarse, se trata de un apagado real, no de un modo de suspensi\u00f3n).<\/p>\n

Como era de esperar, los padres tienen a su disposici\u00f3n una aplicaci\u00f3n para controlar y supervisar el juguete. Y, como ya debes haber adivinado, todo est\u00e1 conectado a Internet y emplea un mont\u00f3n de servicios en la nube. Si te interesan los detalles t\u00e9cnicos, puedes encontrarlos en la versi\u00f3n completa de la investigaci\u00f3n de seguridad<\/a>, que hemos publicado en Securelist.<\/p>\n

Como de costumbre, cuanto m\u00e1s complejo es el sistema, m\u00e1s probable es que tenga brechas de seguridad, que alguien podr\u00eda intentar explotar para hacer algo indeseable. Aqu\u00ed hemos llegado al punto clave de esta publicaci\u00f3n: despu\u00e9s de estudiar de cerca el robot, encontramos varias vulnerabilidades graves.<\/p>\n

Videollamadas no autorizadas<\/h2>\n

Lo primero que encontramos durante nuestra investigaci\u00f3n fue que los actores maliciosos pod\u00edan realizar videollamadas a cualquier robot de este tipo. El servidor del proveedor emit\u00eda tokens de sesi\u00f3n de v\u00eddeo a cualquier persona que tuviera tanto el ID del robot como el ID del padre. El ID del robot no era dif\u00edcil de forzar: cada juguete ten\u00eda un ID de nueve caracteres similar al n\u00famero de serie impreso en su cuerpo, y los dos primeros caracteres eran los mismos para todas las unidades. El ID del padre se podr\u00eda obtener enviando una solicitud con el ID del robot al servidor del fabricante sin ninguna autenticaci\u00f3n.<\/p>\n

Por lo tanto, un actor malicioso que quisiera llamar a un ni\u00f1o al azar podr\u00eda intentar adivinar el ID de un robot espec\u00edfico o jugar a la ruleta y llamar a ID aleatorios.<\/p>\n

Secuestro completo de la cuenta de los padres<\/h2>\n

Esto no termina ah\u00ed. El ingenuo sistema permite que cualquier persona con el ID de un robot obtenga mucha informaci\u00f3n personal del servidor: direcci\u00f3n IP, pa\u00eds de residencia, nombre del ni\u00f1o, sexo y edad, junto con los detalles de la cuenta de los padres (direcci\u00f3n de correo electr\u00f3nico de los padres, n\u00famero de tel\u00e9fono y el c\u00f3digo que vincula la aplicaci\u00f3n parental al robot).<\/p>\n

Esto, a su vez, cre\u00f3 la oportunidad de un ataque mucho m\u00e1s peligroso: el secuestro completo de la cuenta de los padres. Un actor malicioso solo habr\u00eda tenido que seguir unos sencillos pasos:<\/p>\n