Vulnerabilidades en juguetes para adultos amenazan la privacidad de los usuarios

Por Alessandro Bazzoni

A medida que los dispositivos de la Internet de las cosas (IoT) continúan infiltrándose en los hogares y ofrecen una gama cada vez más amplia de funciones, comienzan a surgir nuevas preocupaciones sobre la seguridad de los datos procesados ​​por estos dispositivos. Aunque han estado sujetos a innumerables brechas de seguridad que llevaron a la exposición de los datos de inicio de sesión de las personas, la información financiera y la ubicación geográfica, entre otros, hay pocos tipos de datos con más potencial de dañar a los usuarios que los relacionados con sus preferencias y comportamiento sexual. ESET Latinoamérica, compañía líder en detección proactiva de amenazas, presenta su investigación “La sexualidad en la era digital: vulnerabilidades en juguetes sexuales inteligentes”.

Cada vez más juguetes eróticos incorporan aplicaciones para los dispositivos móviles, mensajería, videochat y conectividad, sincronización con listas de canciones o audiolibros, y la capacidad de conectarse a asistentes inteligentes. Algunos modelos pueden sincronizarse para replicar sus movimientos y otros son wearables. Estas características los convierten en dispositivos atractivos no solo para usuarios, sino también para los ciberdelincuentes, que han encontrado en ellas un nuevo vector de ataque.

Como ocurre con cualquier otro dispositivo de la IoT, existen ciertas amenazas a la privacidad cuando se utilizan juguetes para adultos con capacidad para conectarse a Internet. Las vulnerabilidades podrían permitir a los atacantes ejecutar código malicioso en el dispositivo o bloquearlo evitando que el usuario envíe cualquier comando al juguete. Por otro lado, las consecuencias de una brecha en los datos en este tipo de productos pueden ser problemáticas para la víctima, ya que pueden filtrar información privada y sensible, como la orientación sexual, los comportamientos y parejas sexuales e incluso fotos o videos íntimos.

 “Con nuevos modelos de juguetes sexuales inteligentes entrando al mercado constantemente, podríamos pensar que se está avanzando en el fortalecimiento de los mecanismos que aseguran las buenas prácticas en el procesamiento de la información de los usuarios. Sin embargo, nuestra investigación reveló interesantes fallas de seguridad derivadas tanto de la implementación de las aplicaciones que controlan los dispositivos como del diseño de los mismos, afectando el almacenamiento y procesamiento de la información. Hoy, estos hallazgos son más relevantes que nunca, ya que estamos viendo un rápido aumento en las ventas de juguetes sexuales como un reflejo de la situación actual en el mundo debido a las medidas de distanciamiento social relacionadas al COVID-19.”, comentan Cecilia Pastorino y Denise Giusto Bilic, las especialistas de ESET que llevaron adelante la investigación.

La mayoría de estos dispositivos se pueden controlar a través de Bluetooth Low Energy (BLE) desde una aplicación instalada en un teléfono inteligente. La aplicación es responsable de configurar las opciones en el dispositivo y controlar el proceso de autenticación del usuario. Para hacerlo, se conecta a un servidor en la nube que almacena la información de la cuenta de la persona. En algunos casos, este servicio en la nube también actúa como intermediario entre parejas que utilizan funciones como chat, videoconferencia y transferencia de archivos, o incluso ceden el control remoto de sus dispositivos a un tercero. Desde ESET destacan que esta arquitectura presenta varios puntos débiles que podrían usarse para comprometer la seguridad de los datos que se procesan: Interceptar la comunicación local entre la aplicación de control y el dispositivo, entre la aplicación y la nube, entre el teléfono remoto y la nube, o directamente atacando al servicio basado en la nube.

El objetivo de la investigación llevada a cabo por ESET fue determinar el nivel de seguridad en aplicaciones para Android destinadas a controlar los modelos más completos de las principales marcas en el rubro del placer sexual, para determinar en qué medida se garantiza la confidencialidad de los datos de los usuarios. El análisis se basó en dos modelos: Max de Lovense y el Jive de We-Vibe. Vale aclarar que ambos desarrolladores recibieron un informe detallado de las vulnerabilidades y sugerencias acerca de cómo corregirlas y desde ESET agradecieron a WOW Tech Group y Lovense por su cooperación en el tratamiento de los problemas informados.

Por Alessandro Bazzoni