Смарт-телевизоры Samsung могут быть взломаны с помощью Wi-Fi Direct

Специалисты в области кибербезопасности выявили очередную уязвимость в "умных" телевизорах Samsung. Эксперты утверждают, что уведомили южнокорейского производителя о бреши, однако никакой серьезной реакции со стороны компании не последовало.

Уязвимость обнаружили в консалтинговой компании Neseso, специализирующейся в вопросах информационной безопасности (ИБ). Речь идет об использовании в смарт-телевизорах Samsung аутентификации на основе технологии Wi-Fi Direct. Чтобы подключиться к ТВ, хакеру достаточно "подслушать" MAC-адрес доверенного устройства. Теоретически, затем злоумышленник может проникнуть в сеть, к которой подключен телевизор.

Neseso опубликовала свои выводы на интернет-ресурсе Full Disclosure, отметив, что в Samsung выявленный баг посчитали не представляющим опасности.

Чтобы пользователям всякий раз не нужно было проходить аутентификацию при включении Smart TV, в Samsung предусмотрели специальную функцию: устройства добавляются в список доверенных по MAC-адресу.

"Пользователь лишь получает уведомление о том, что доверенное устройство подключилось к Smart TV, но никакой аутентификации при этом не требуется", - говорится в сообщении Neseso, выдержки из которого публикует британское издание The Register.

Поскольку MAC-адрес достаточно легко перехватывается по Wi-Fi, особого труда не составит и подделать его. "Замаскировавшись" под доверенное устройство, хакер способен полностью захватить телевизор под свой контроль. В частности, злоумышленник сможет воспользоваться функцией Screen Mirroring, дающей доступ к экрану мобильного устройства с экрана телевизора, а также управлять пультом ДУ. В теории, через телевизор хакер получит и доступ к сети, к которой подключен Smart TV.

В Neseso обращают внимание, что функция Wi-Fi Direct активна по умолчанию. Отключать ее нужно вручную после каждого включения Smart TV.

Также специалисты пояснили, что перед публикацией материалов на сайте Full Disclosure они связались по данному поводу с Samsung в марте этого года. В апреле компания ответила, что не считает проблему ИБ-угрозой.