サイバーセキュリティ企業のCheck Point Software Technologiesは、LGエレクトロニクスの家電製品向けスマートフォン用アプリ「LG SmartThinQ」に、SmartThinQ対応デバイスの不正遠隔操作を許してしまうぜい弱性「HomeHack」が存在していたと発表した。LGは、Check Pointからの情報提供を受け、すでに問題を修正済み。
HomeHackが存在していたのは、SmartThinQのモバイルアプリとクラウドアプリ。このぜい弱性を悪用すると、クラウドアプリにリモートログインして正規ユーザーのアカウントを乗っ取り、SmartThinQに対応しているそのユーザーの家電製品を不正に遠隔操作できてしまう。該当アカウントにひも付けされた家電デバイスは、冷蔵庫やオーブン、食器洗い機、洗濯機、衣類乾燥機、エアコン、ロボット掃除機など、あらゆるものが攻撃対象になる。
Check Pointの研究者はこのぜい弱性を使い、まず偽のLGアカウントを作り、それを足がかりに正規ユーザーのLGアカウントを乗っ取り、LGのスマートアプライアンスをリモートコントロールできることを示した。例えば、攻撃者は食器洗い機や洗濯機の電源を勝手に入れたりできる。また、ロボット掃除機「Hom-Bot」が攻撃されると、セキュリティ機能「HomeGuard」が悪用され、Hom-Botの搭載カメラで自宅のようすを覗かれたり、盗撮されたりする。
LGに対し、Check Pointは7月31日にHomeHackの存在を通知した。これを受け、LGは問題を調査し、修正を施したSmartThinQアプリのバージョン「1.9.20」を9月29日にリリース。記事執筆時点(日本時間10月31日12時)で提供されているバージョンは、Android版、iOS版のいずれも「1.9.24」。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」
「程よく明るい」照明がオフィスにもたらす
業務生産性の向上への意外な効果
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス