Fallo de Seguridad en las Cámaras Wyze permite a 13.000 Usuarios Espiar en Otros Hogares

Wyze compartió más detalles sobre un incidente de seguridad que afectó a miles de usuarios el viernes y dijo que al menos 13.000 clientes pudieron echar un vistazo a las casas de otros usuarios.

La compañía culpa a una biblioteca cliente de almacenamiento en caché de terceros agregada recientemente a sus sistemas, que tuvo problemas para lidiar con una gran cantidad de cámaras que se conectaron todas a la vez después de una interrupción generalizada del viernes.

Varios clientes han informado haber visto transmisiones de video de otros usuarios en la pestaña Eventos de la aplicación desde el viernes, y algunos incluso han aconsejado a otros clientes que apaguen las cámaras hasta que se solucionen estos problemas continuos.

“La interrupción se originó en nuestro socio AWS y dejó fuera de servicio los dispositivos Wyze durante varias horas la madrugada del viernes. Si intentó ver cámaras en vivo o eventos durante ese tiempo, probablemente no pudo hacerlo. Lamentamos mucho la frustración y la confusión. esto provocó”, afirma la empresa en los correos electrónicos enviados a los usuarios afectados.

“Mientras trabajábamos para volver a poner las cámaras en línea, experimentamos un problema de seguridad. Algunos usuarios informaron haber visto miniaturas y videos de eventos incorrectos en su pestaña Eventos. Inmediatamente eliminamos el acceso a la pestaña Eventos e iniciamos una investigación”.

Wyze dice que esto sucedió debido al aumento repentino de la demanda y provocó la combinación de ID de dispositivos y asignaciones de ID de usuario, lo que provocó la conexión errónea de ciertos datos con cuentas de usuario incorrectas.

Como resultado, los clientes podían ver las miniaturas de los videos de otras personas y, en algunos casos, incluso las secuencias de video después de tocar las miniaturas de la cámara en la pestaña Eventos de la aplicación Wyze.

“Ahora podemos confirmar que cuando las cámaras volvieron a estar en línea, alrededor de 13.000 usuarios de Wyze recibieron miniaturas de cámaras que no eran las suyas y 1.504 usuarios las tocaron. Hemos identificado su cuenta de Wyze como una de las que se vio afectada”, dice la compañía. en correos electrónicos enviados a los usuarios afectados.

“Esto significa que las miniaturas de sus eventos estaban visibles en la cuenta de otro usuario de Wyze y que se tocó una miniatura. La mayoría de los toques ampliaron la miniatura, pero en algunos casos podría haber causado que se viera un video de evento”.

Wyze aún tiene que compartir el número exacto de usuarios cuyas transmisiones de videovigilancia quedaron expuestas en el incidente.

La compañía ahora ha agregado una capa adicional de verificación para los usuarios que desean acceder al contenido de video a través de la pestaña Eventos para garantizar que este problema no ocurra en el futuro.

Además, ajustó los sistemas para evitar el almacenamiento en caché durante las comprobaciones de la relación entre el usuario y el dispositivo hasta que pueda cambiar a una nueva biblioteca cliente capaz de funcionar correctamente durante “eventos extremos” como la interrupción del viernes.

Relacionado

Zoom corrige Falla Crítica de Elevación de Privilegios en Aplicaciones de Windows

Los clientes VDI y de escritorio de Zoom y el SDK de Meeting para Windows son vulnerables a una falla de validación de entrada incorrecta que podría permitir que un atacante no autenticado lleve a cabo una escalada de privilegios en el sistema de destino a través de la red. Zoom es un popular servicio de videoconferencia basado en la nube para reuniones corporativas, lecciones educativas, ¡SEGUIR LEYENDO!

WordPress: Graves Errores Detectados en el Complemento Ninja Forms, 1 millón de sitios afectados

Las vulnerabilidades detectadas en el complemento Ninja Forms para WordPress, instalado en más de un millón de sitios, pueden conducir a un asalto completo del sitio si no se repara antes de un posible ataque. Wordfence detectó un total de cuatro vulnerabilidades en el complemento de WordPress Ninja Forms que podrían permitir a los atacantes: Redirigir a los administradores del sitio a ubicaciones aleatorias. Instalar un ¡SEGUIR LEYENDO!

White Phoenix un Nuevo Descifrador de Ransomware Online

CyberArk ha dado un paso significativo en la lucha contra el ransomware al lanzar una versión en línea de 'White Phoenix', un descifrador de ransomware de código abierto diseñado para combatir operaciones que utilizan encriptación intermitente. A pesar de que la herramienta está disponible de forma gratuita en GitHub como un proyecto en Python, CyberArk reconoció la necesidad de una versión en línea para atender a ¡SEGUIR LEYENDO!

VMware insta a los Administradores a eliminar este Complemento de Autenticación

VMware instó hoy a los administradores a eliminar un complemento de autenticación descontinuado expuesto a ataques de retransmisión de autenticación y secuestro de sesión en entornos de dominio de Windows a través de dos vulnerabilidades de seguridad que no se han parcheado. El vulnerable complemento de autenticación mejorada (EAP) de VMware permite un inicio de sesión fluido en las interfaces de administración de vSphere a través ¡SEGUIR LEYENDO!

Subdominios Secuestrados de Marcas Importantes utilizados en Campaña Masiva de Spam

Una campaña masiva de fraude publicitario llamada "SubdoMailing" utiliza más de 8.000 dominios de Internet legítimos y 13.000 subdominios para enviar hasta cinco millones de correos electrónicos por día para generar ingresos a través de estafas y publicidad maliciosa. La campaña se llama "SubdoMailing", ya que los actores de amenazas secuestran subdominios abandonados y dominios que pertenecen a empresas conocidas para enviar sus correos electrónicos maliciosos. ¡SEGUIR LEYENDO!