Умная кофеварка Keurig, принадлежащая родителям специалиста по ИТ, за 10 дней отправила 1 ТБ данных через домашний Wi-Fi, перегрузив точку доступа, сообщил пользователь @NomadsGalaxy в посте на X. Номад добавил, что большая часть трафика «не покинула мою сеть», но неясно, какие данные она пыталась отправить, хотя и было соблазнительно «просканировать ее пакеты с помощью Wireshark и других инструментов». Номад, технический специалист по полевым работам и сообществу у производителя 3D-принтеров Prusa с более чем 10-летним опытом работы в ИТ, отметил @Keurig и загрузил скриншот UniFi, спросив, что могла загружать кофемашина. Проблема была обнаружена после того, как его родители пожаловались на медленную работу сети. Он сказал, что отключит машину отца и купит родителям новую. На скриншоте устройство, начинающееся с «Keurig», находится в его «сеть бытовой техники», с трафиком 9,94 ГБ входящего и 1008,45 ГБ исходящего за 10 дней и 9 часов. По-видимому, оно было отключено вечером 5 октября, и позже он заподозрил ошибку. Объем данных, указанный на скриншоте, предполагает среднюю исходящую скорость около 9 Мбит/с, что может перегрузить точку доступа. Это составляет около 97 ГБ в день, примерно в 27 раз больше, чем 3,6 ГБ в день у стиральной машины LG, о которых сообщалось в 2024 году. Модель, о которой идет речь, как указано в ответе, — K-Supreme SMART с BrewID, согласно ее странице продукта и руководству по эксплуатации и уходу. Это руководство описывает управление приложением для удаленного приготовления, удаленного включения/выключения и запланированных приготовлений. Оно также охватывает голосовое управление Alexa и Google Home. BrewID распознает капсулы Keurig через Wi-Fi, возможно, подпитывая его предположение, что «это просто DRM, готовый к включению», и применяет рекомендуемые настройки обжарщика. На этой модели она работает через Wi-Fi 2,4 ГГц, предположительно для дальности и совместимости, что ограничивает ее максимальную пропускную способность. Позже в ветке X Номад признал, что UniFi не сообщил об фактической загрузке 1 ТБ, поэтому он пришел к выводу, что это в основном локальные ненужные данные. Кофеварка уже находилась в отдельной сети IoT вместе с умными устройствами его родителей, но мало что было заблокировано. Перезагрузка устройства и размещение его в отдельном VLAN решили проблему, по крайней мере, временно. Он не предпринимал никаких попыток захвата пакетов, предпочитая держать его безопасно офлайн, а не запускать захваты. Он рекомендовал Keurig исправить потенциальный недостаток в сетевом стеке устройства, чтобы предотвратить подобные проблемы в будущем. Согласно проекту pykeurig на GitHub, который позволяет интеграцию с Home Assistant, информация, отправляемая в облако, включает состояние питания, состояние приготовления, результат распознавания капсулы и версию программного обеспечения. Собственное уведомление Keurig об открытом исходном коде перечисляет Azure RTOS от Microsoft, готовый к использованию операционную систему и сетевой стек для IoT. Тип отправляемых данных невелик, поэтому 1 ТБ выглядит как сбой, но проприетарная прошивка не является общедоступной. Скриншот X также показывает MAC-адрес радиостанции с регистрацией блока на Jabil от 18 февраля 2021 года. Сайт Jabil перечисляет опыт работы с Wi-Fi и Bluetooth, проектирование радиочастот и антенн, встраиваемые модули IoT и подключенные устройства среди своих возможностей. Keurig ранее указывал Nypro, дочернюю компанию Jabil, в качестве партнера. Это не подтверждает происхождение оборудования или принцип работы прошивки. Умные кофеварки хранят историю приготовлений за 14 дней и синхронизируют ее при подключении, а приготовление капсул Keurig приносит очки, согласно FAQ Keurig Perks. Boston Globe сообщила в 2022 году, что Keurig делилась данными о приготовлении с брендами, продающими K-Cups, с планами более персонализированного маркетинга. Это событие происходит в то время, когда пользователи и защитники конфиденциальности уже возмущены тайным сбором данных устройствами IoT, причем LG в последние годы стала особенно заметным объектом внимания. В прошлом месяце Gamers Nexus и исследователи безопасности использовали захват пакетов и анализ прошивки на некоторых телевизорах LG. LG сообщила Tom’s Hardware, что ее телевизоры не записывают разговоры, если голосовые функции не включены, хотя в режиме ожидания они слушают ключевое слово, если эта функция включена. Компания подтвердила сканирование локальной сети, добавив: «Это стандартная функция, обычно предоставляемая смарт-телевизорами и устройствами умного дома». В том случае фактический трафик был захвачен, и это было частью предполагаемой функции, а не явным сбоем. В настоящее время от Keurig нет никаких официальных комментариев по поводу инцидента. Хотя кофеварка работает без Wi-Fi, многие из ее заявленных функций зависят от доступа в Интернет, что делает потенциальный недостаток реальной проблемой для владельцев. Номад и его семья, вероятно, пересматривают свои правила использования умных устройств. Он заявил, что другие устройства могут быть затронуты, поэтому больше пользователей могут столкнуться с таким же поведением. Это может побудить Keurig выступить с официальным заявлением или исправить ситуацию. В любом случае, это событие является напоминанием о том, что производители устройств IoT и их производители должны проявлять особую осторожность.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shane Downing
