Smart-Home-Lösung LG SmartThinQ gehackt

Experten von Check Point Software ist es gelungen, die von LG Electronics angebotene Smart-Home-Lösung LG SmartThinQ erfolgreich anzugreifen. Sie nutzten dazu eine HomeHack genannte Schwachstelle in der SmartThinQ-App und der dahinterliegenden Cloud-Applikation aus. Dadurch konnten sie alle angeschlossenen Geräte kontrollieren, auch den mit einer Videokamera ausgestatteten Saugroboter LG Home-Bot.

“Je mehr smarte Geräte wir in unserem Zuhause einsetzen, desto stärker fokussieren sich die Angreifer auf die Verwaltungsprogramme anstatt auf die einzelnen Endpunkte. Durch Apps haben die Cyberkriminellen wesentlich mehr Möglichkeiten, Nutzer zu attackieren und persönliche Daten abzufangen”, erklärt Oded Vanunu, Head of Products Vulnerability Research bei Check Point, in einer Pressemitteilung. “Die User müssen sich des Sicherheitsrisikos bewusst sein, das mit der Nutzung von IoT-Geräten einhergeht. Besonders wichtig ist zudem, dass die Hersteller von IoT-Geräten richtige Schutzmechanismen während der Entwicklung der Geräte und der Software integrieren.”

Die Check-Point-Experten nutzten Sicherheitsmängel in der SmartThinQ Mobile App aus, um einen gefälschten LG-Account zu erstellen. Damit konnten sie dann echte LG-Konten übernehmen. Mit diesen Zugängen konnten schließlich alle vernetzten Geräte im Haus der LG-Kunden ferngesteuert werden. Über die Möglichkeit informierten sie LG am 31. Juli. Die Schwachstellen wurden bis Ende September 2017 durch LG beseitigt. Die fehlerbereinigte Version 1.9.23 der LG SmartThinQ App kann im Google Play Store, Apples App Store oder über die LG SmartThinQ App unter “Einstellungen” heruntergeladen werden.

Das sollten Nutzer auch dringend tun. Denn mit den Zugriffsrechten auf das Benutzerkonto können Geräte wie Kühlschränke, Öfen, Waschmaschinen, Trockner oder Klimaanlagen durch Unbefugte ferngesteuert werden. Das gilt auch für den Saugroboter Home-Bot. Bei dem kommt noch dazu, dass er über eine integrierte Videokamera mit Live-Streaming-Funktion verfügt. Die ist eigentlich als Teil des LG-Angebots HomeGuard dazu gedacht, die Sicherheit der Nutzer zu erhöhen. Aufgrund der Sicherheitslücke “HomeHac”k lässt sie sich aber nun zum Spionagewerkzeug umfunktionieren.

LG ist nicht der einzige Anbieter, der Staubsaugerroboter mit integrierter Kamera im Angebot hat. Allerdings sind nicht alle Kameras in den Saugrobotern auch mit einer Live-Streaming-Funktion ausgerüstet. Beim Samsung SR8F30 dient die Kamera zum Beispiel lediglich der Kartierung des Raumes für den Roboter. Das ist bei den Roomba-Modellen von iRobot offiziell auch so. Der Hersteller hat aber im Sommer laut darüber nachgedacht, die so erstellten Pläne mit anderen Geräten zu teilen und möglicherweise sogar zu verkaufen.