स्मार्टवॉच पहनकर घूम रहे एक पत्रकार की लोकेशन को कई किलोमीटर दूर बैठे एक सुरक्षा शोधकर्ता ने केवल उसके आसपास मौजूद वाई-फाई नेटवर्क के सिग्नल से पिनपॉइंट कर लिया। थोड़ी देर बाद जब वह व्यक्ति अपनी दफ्तर की इमारत में पहुंचा, तो बिना किसी घंटी, स्क्रीन ब्लिंक या अलर्ट के घड़ी के कैमरे से खामोशी से तस्वीर खींच ली गई। इसके तुरंत बाद उसी स्मार्टवॉच का माइक्रोफोन चालू करके आसपास चल रही निजी बातचीत को भी दूसरे देश में बैठे सहयोगी को सुना दिया गया। यह पूरी जासूसी किसी महंगी हैकिंग डिवाइस से नहीं, बल्कि बाजार में 30 डॉलर से कम कीमत में बिकने वाली बच्चों की एक साधारण स्मार्टवॉच के जरिए संभव हुई। इस प्रयोग ने साबित कर दिया कि तकनीक के नाम पर बच्चों और गाड़ियों की सुरक्षा के लिए खरीदे जा रहे ये गैजेट्स वास्तव में डिजिटल जासूसी के खुले दरवाजे बन चुके हैं।
तीन चीनी सप्लाई चेन से जुड़े हैं लाखों उपकरण
लास वेगास में आयोजित ब्लैक हैट साइबर सुरक्षा सम्मेलन में शोधकर्ता स्टाइकास और फेलिप सोल्फेरिनी ने अपने व्यापक अध्ययन के नतीजे पेश किए हैं। उन्होंने 70 से अधिक जीपीएस सक्षम घड़ियों और कार एक्सेसरीज का तकनीकी विश्लेषण किया। जांच में पाया गया कि बाजार में दिखने वाले ढेरों अलग-अलग ब्रांड्स के पीछे मुख्य रूप से केवल तीन प्रमुख निर्माण शृंखलाएं काम कर रही हैं। 30 से अधिक ब्रांड्स का निर्माण शेनज़ेन स्थित कंपनी यीचिंगतेंग इलेक्ट्रॉनिक्स द्वारा किया गया है, जो वोनलैक्स, शेनज़ेन 3जी इलेक्ट्रॉनिक्स या एसईट्रैकर ऐप के नाम से जुड़ी हैं। इसी प्रकार 30 से अधिक अन्य ट्रैकिंग डिवाइस न्यूजीपीएस2012 नामक शेनज़ेन आधारित प्लेटफॉर्म पर चलते हैं, जबकि सिनोट्रैक नामक तीसरी बड़ी कंपनी भी लाखों कार और वॉच ट्रैकर्स को अपना बुनियादी ढांचा मुहैया कराती है।
कमजोर सर्वर और प्रमाणीकरण की कमी बनी बड़ी वजह
शोधकर्ताओं के अनुसार इन तीनों आपूर्ति शृंखलाओं के सर्वर स्तर पर बुनियादी सुरक्षा प्रणालियों का नितांत अभाव है। कई मामलों में हैकर्स को किसी डिवाइस में प्रवेश करने के लिए किसी जटिल पासवर्ड की भी आवश्यकता नहीं होती। सर्वर में साधारण प्रमाणीकरण (ऑथेंटिकेशन) न होने की वजह से कोई भी अनजान व्यक्ति किसी भी यूजर का जीपीएस डेटा हासिल कर सकता है। हैकर्स न केवल वास्तविक समय में बच्चों और वाहनों की लोकेशन देख सकते हैं, बल्कि फर्जी जीपीएस लोकेशन स्पूफ कर सकते हैं, टेक्स्ट और ऑडियो संदेशों को बीच में बदल सकते हैं, तथा आपातकालीन संपर्क नंबरों को अपनी पसंद के नंबरों से बदल सकते हैं। यदि डिवाइस में कैमरा या माइक मौजूद है, तो उसे दूर बैठकर चुपचाप चालू करके तस्वीरें या वीडियो रिकॉर्ड किए जा सकते हैं।
ब्रांड्स का भ्रम और क्लाउड सर्वर की सच्चाई
उपभोक्ताओं को लगता है कि वे अलग-अलग कंपनियों और देशों के प्रीमियम उत्पाद खरीद रहे हैं, लेकिन यह केवल सफेद लेबलिंग का एक छलावा है। उदाहरण के लिए, स्वीडन में सेफकिड नाम से बिकने वाली वॉच और स्पेन में सेवफैमिली नाम से खरीदी गई स्मार्टवॉच, दोनों ही चीन के मेनलैंड में स्थित अलीबाबा क्लाउड पर चल रहे myaqsh.com नामक एक ही कमजोर बैकएंड सर्वर को डेटा भेजती हैं। इसका सीधा अर्थ यह है कि जब एक बैकएंड सर्वर में कोई सुरक्षा सुराग मिलता है, तो उससे दुनिया भर के दर्जनों अलग-अलग ब्रांड्स के लाखों उपभोक्ता एक साथ प्रभावित होते हैं। आम ग्राहक के पास यह जानने का कोई तरीका नहीं होता कि उसका गैजेट किस सर्वर से जुड़ा है।
वाहनों को अनलॉक और कंट्रोल करने का जोखिम
केवल बच्चों की स्मार्टवॉच ही नहीं, बल्कि गाड़ियों में लगने वाले जीपीएस ट्रैकिंग उपकरण भी समान रूप से असुरक्षित पाए गए हैं। सिनोट्रैक और न्यूजीपीएस2012 प्लेटफॉर्म्स के सर्वर में एसक्यूएल इंजेक्शन जैसी गंभीर कमियां मिली हैं। इन कमियों का फायदा उठाकर हमलावर सीधे सर्वर पर अपना कोड चला सकते हैं, वाहनों की लोकेशन, रजिस्टर्ड यूजर के पासवर्ड और वाहन संबंधी निजी रिकॉर्ड्स चुरा सकते हैं। कुछ मामलों में हैकर्स दूर बैठकर गाड़ियों को लॉक या अनलॉक करने वाले कमांड भी भेज सकते हैं। शोधकर्ताओं ने सर्वर जांच के दौरान ऐसे साक्ष्य भी पाए, जिनसे संकेत मिलता है कि अज्ञात हैकर्स पहले ही इन सर्वरों का अनधिकृत एक्सेस हासिल कर चुके थे।
वर्षों की चेतावनियों के बावजूद स्थिति जस की तस
सस्ते जीपीएस उपकरणों की सुरक्षा पर लंबे समय से सवाल उठते रहे हैं। वर्ष 2018 में ट्रैकगेडन नाम से उजागर की गई रिपोर्ट में भी कार ओबीडीआईआई पोर्ट से जुड़े गैजेट्स में भारी कमियों का खुलासा हुआ था। म्यूनस्टर यूनिवर्सिटी ऑफ एप्लाइड साइंसेज के वर्ष 2020 के अध्ययन में परीक्षण की गई छह में से पांच बच्चों की स्मार्टवॉच में गंभीर कमियां पाई गई थीं। शोधकर्ता सेबेस्टियन शिंज़ेल ने उस समय टिप्पणी की थी कि सिस्टम का लगभग हर हिस्सा टूटा हुआ था। इसके बावजूद कंपनियां सुरक्षा सुधारने में रुचि नहीं दिखा रही हैं और उपभोक्ता अनजान बनकर इन्हें अपनों को पहना रहे हैं।
प्रतिक्रिया और सुधरने के नाम पर लीपापोती
जब एसईट्रैकर के प्रतिनिधियों से इन खामियों के बारे में संपर्क किया गया, तो उन्होंने पहले दावा किया कि समस्याओं का समाधान बहुत पहले ही कर दिया गया था। लेकिन जब शोधकर्ताओं द्वारा इस सप्ताह भी सफलतापूर्वक हैक करके साक्ष्य दिखाए गए, तो उन्होंने कोई ठोस तकनीकी स्पष्टीकरण देने के बजाय केवल सबूत मांगे। सम्मेलन से कुछ ही घंटे पहले एसईट्रैकर के प्लेटफॉर्म पर कुछ हैकिंग तरीकों ने काम करना बंद किया, लेकिन शोधकर्ताओं का कहना है कि यह स्पष्ट नहीं है कि सभी सुराग पूरी तरह बंद हुए हैं या नहीं। वहीं सिनोट्रैक और न्यूजीपीएस2012 ने इस पर कोई प्रतिक्रिया नहीं दी है और उनके सिस्टम पर पुरानी हैकिंग तकनीकें अभी भी काम कर रही हैं।
