從掃地機器人到燈泡，物聯網設備有許多資安隱憂已不是什麼祕密，最近有研究員也瞄準最新對象：智慧咖啡機。
試想當你一早走入廚房，拿起杯子想沖杯咖啡提神，此時咖啡機突然發出刺耳的蜂鳴聲，噴灑熱水並不斷旋轉研磨機，螢幕顯示出惡魔頭像，打出一行字：想奪回你的咖啡機？先付贖金到以下帳戶。
這正是 Avast 研究員 Martin Hron 近期對價值 250 美元 Smarter 的智慧咖啡機所做的嘗試。儘管綁架咖啡機聽起來毫無意義，但 Hron 是希望透過此次實驗證明一些觀點。
Hron 表示，有網友提出一種說法，即針對 IoT 設備的威脅不僅是路由器問題或暴露於公開網路，而是 IoT 設備本身就很脆弱，即使不靠前兩種手段也能輕鬆入侵。
為了測試這項觀點是否正確，Hron 花了一週進行逆向工程研究，詳細流程已在 Blog 文章講述。簡而言之，Hron 發現咖啡機 Wi-Fi 連結與韌體更新程式的突破口，之後編寫 python 腳本模仿更新程式執行修改後的內容，之後便達成開頭所說的勒索贖金劇碼。
Hron 表示，最初他曾想證明設備可用來挖礦，考慮到 CPU 和結構可行，但在 8MHz 速度下，挖礦產值基本可忽略不計，最後才決定以勒索軟體方式進行，而這項實驗也證明，同樣情況可能發生於所有設備。
「這是一個好例子說明開箱即用產品的問題。你不需要設定任何東西，供應商通常也不會考慮到這點。」
當然，使用者可簡單透過拔掉插頭暫時解決問題，綁架也有一些非常明確的限制，但隱藏的意義更令人擔憂。
Hron 指出，透過入侵，攻擊者可使智慧設備無法接收官方提供的修補程式修復漏洞，也可在不觸發警告下攻擊同網路的其他設備。普通家電的生命週期動輒數十年，但 IoT 設備廠商又計畫維護軟體多久呢？
「……在 IoT 設備普及和不良維護態度下，我們正打造出一支被遺棄、容易受攻擊的隊伍，這些設備可能遭濫用，用來駭入網路、洩漏數據、使用勒索軟體攻擊或 DDoS。」
（首圖來源：pixabay）
