Você está na câmera sincera | Comissão Federal de Comércio

Nas palavras do antigo programa de TV, “Sorria. Você está na câmera sincera. ” Mas, de acordo com um processo da FTC, alegando segurança negligente por uma empresa que vende câmeras da Internet, para as centenas de consumidores cujas vidas privadas eram assistidas on -line, não havia nada para sorrir.

A TrendNet, com sede na Califórnia, vende equipamentos de tecnologia, incluindo câmeras IP que muitos compradores usam para fins de segurança-por exemplo, para monitorar o bebê ou sua casa ou empresa enquanto estão fora. Os usuários podem configurar a câmera e assistir o feed ao vivo on -line de outro local. Mas a FTC diz que houve um “oops” e foi um verdadeiro Whopper. Devido a uma falha no software, o feed on -line pode ser assistido (e, em alguns casos, ouvido) por qualquer pessoa com o endereço da Internet da câmera.

As consequências para os consumidores não foram hipotéticas. A FTC diz que um hacker divulgou a falha em janeiro de 2012. Não demorou muito para que outros postassem links para os feeds ao vivo de quase 700 câmeras – o que significa que qualquer pessoa tão inclinada poderia secretamente assistir os bebês de outras pessoas em seus berços, os filhos de outra pessoa Jogando, ou os acontecimentos do dia-a-dia nas casas dos usuários.

Como isso aconteceu? De acordo com a FTC, a TrendNet não tomou medidas razoáveis ​​para desenvolver e manter software seguro. Por padrão, a TrendNet exigia que os usuários inserissem credenciais de login (um nome de usuário e senha) para acessar seus feeds. Mas, devido às falhas de segurança da empresa, houve um “backdoor” que permitiu que os hackers visitassem um site onde a câmera Feeds poderia ser acessada sem nunca entrar em credenciais de login. Além disso, mesmo onde as credenciais de login foram usadas, a empresa as transmitiu em texto claro e legível pela Internet, apesar do acesso gratuito a software que teria garantido as informações. Isso tornou as câmeras ainda mais vulneráveis. Compondo o problema era que a empresa forneceu aos usuários uma configuração para desativar o requisito de credenciais de login. Isso, diz a FTC, deu aos consumidores razoáveis ​​a impressão eles estavam no controle de quem podia ver seu feed, não um Joe aleatório assistindo anonimamente em particular.

A TrendNet também forneceu aplicativos para que as pessoas pudessem ver seu feed através de um dispositivo móvel. Esses aplicativos exigiram credenciais de login pela primeira vez, mas os armazenavam no dispositivo para que as pessoas não precisassem entrar depois disso. Lá, novamente, a FTC diz que a empresa não conseguiu garantir as credenciais e as armazenou em texto simples, criando uma brecha adicional de segurança.

Ah, e nós mencionamos que muitas das câmeras foram comercializadas sob o nome comercial “Securview” e apresentavam um adesivo com a palavra segurança ao lado de uma foto de um cadeado?

De acordo com a denúncia, as alegações expressas e implícitas da Trendnet de que a empresa havia tomado medidas razoáveis ​​para garantir que a segurança dos usuários fossem falsos. Também falso: a representação que a empresa honraria a configuração de segurança que os usuários escolheram. Além disso, a denúncia alega que, quando tomada em conjunto, o que a empresa fez – e não fez – não forneceu segurança razoável para impedir o acesso não autorizado a feeds ao vivo. Isso representou uma prática injusta, diz o FTC.

Para resolver o caso, a TrendNet terá que implementar um programa de segurança abrangente projetado para proteger dados e abordar os riscos de segurança que podem levar ao acesso não autorizado em qualquer um dos produtos acessíveis à Internet da empresa, não apenas por câmeras IP. A Trendnet também terá que obter avaliações independentes de segurança de terceiros a cada dois anos nos próximos 20 anos. Além disso, eles precisam notificar os consumidores sobre o problema, falar sobre a atualização de segurança corretiva e oferecer suporte técnico gratuito por dois anos para ajudar as pessoas a atualizar ou desinstalar suas câmeras.

O que a FTC deseja que as empresas aprendam com esse acordo? Se você vender dispositivos conectados à Internet, tome medidas razoáveis ​​para proteger a privacidade e a segurança dos usuários. Se você vende hardware, software ou ambos, não é prudente comercializar produtos com buracos que os hackers podem explorar. Além disso, tenha um processo para descobrir sobre falhas que podem afetar seus produtos e serviços. De acordo com a reclamação da FTC, a Trendnet não monitorou ativamente as discussões sobre seus produtos on -line e, assim, adiou a chance de descobrir o problema e corrigi -lo pronto.

Se você possui uma câmera IP da Trendnet, verifique se possui o patch de segurança da empresa. Se você comprou uma câmera semelhante de outra empresa, leia Usando câmeras IP com segurança Para obter dicas sobre como reduzir os riscos. Você também pode arquivar um comentário online sobre o acordo proposto. O prazo é 4 de outubro.

Enquanto estivermos no assunto da tecnologia doméstica, confira o mais recente no workshop da Internet das Coisas da FTC, definido para 19 de novembro de 2013em Washington, DC.