एक बच्चे की आंखें सीधे कैमरे के लेंस में झांकती हैं। धारीदार शर्ट वाला एक बच्चा ऊपर देखता है, फिर दूर देखता है। पुलिसकर्मी की पोशाक में एक लड़का, उसके सीने पर एक सुनहरा सितारा। एक गन्दा शयनकक्ष जो मुझे मेरी अपनी बेटियों की याद दिलाता है, जिसमें एक कच्चा चारपाई बिस्तर, एक छोटी लड़की की टोपी और हेडबैंड और दीवार पर हैलो किट्टी का प्लास्टर लगा हुआ है।
मेरे मन में एक विचार बार-बार आता है: मुझे यह नहीं देखना चाहिए. किसी अजनबी को नहीं करना चाहिए.
लेकिन बुरे अभिनेता आसानी से इन सभी स्थानों की जासूसी कर सकते थे – और दस लाख से अधिक – क्योंकि मैरी टेक्नोलॉजी के कई वाई-फाई बेबी मॉनिटर और सुरक्षा कैमरे बेहद असुरक्षित थे। यदि आपके पास उन कैमरों में से किसी एक तक पहुंच थी, तो सैद्धांतिक रूप से आपके पास उन सभी तक पहुंच थी।
मैरी एक चीनी व्हाइट-लेबल ब्रांड है जिसके कैमरे सैकड़ों अलग-अलग नामों से भेजे जाते हैं। एरेंटी, अनरान, बोइफुन और आईगीक जैसे कई सामान्य-लगने वाले अमेज़ॅन विक्रेता हैं। लेकिन वित्तीय रिकॉर्ड बताते हैं कि कंपनी के सबसे बड़े ग्राहकों में से एक वायज़ है; इसका सबसे बड़ा ग्राहक ज़ियुन है; और कई हैक करने योग्य कैमरे Intelbras के थे। पेटक्यूब का कम से कम एक पेट-मॉनिटरिंग कैमरा भी मैरी उत्पाद प्रतीत होता है।
सैमी अज़दौफ़ल – फ्रांस का वह व्यक्ति जिसने वास्तव में प्रयास किए बिना डीजेआई रोमो रोबोट वैक्यूम क्लीनर की रिमोट-नियंत्रित सेना बनाई – बताता है द वर्ज उन्होंने लगभग उसी तरह 1.1 मिलियन दूर से पहुंच योग्य मैरी कैमरे ढूंढे। केवल एंड्रॉइड ऐप का निरीक्षण करके, अज़दौफ़ल का कहना है कि वह एक एकल कुंजी निकालने में सक्षम था जिसने उसे 118 देशों में उपकरणों तक पहुंच प्रदान की।
उन लाखों उपकरणों में से हर एक अपनी जानकारी उन सभी को प्रसारित कर रहा था जो सुनना जानते थे। या कोई भी जो कंपनी के पासवर्ड का अनुमान लगाना जानता था, जिनमें से कई अभी भी डिफ़ॉल्ट पर सेट थे। उन पासवर्डों में से एक शब्द “एडमिन” था। दूसरा शब्द था “सार्वजनिक।”
जब अज़दौफ़ल ने एमक्यूटीटी डेटास्ट्रीम को दुनिया के वाइब-कोडित मानचित्र से जोड़ा, तो वह कहता है कि वह “सबकुछ” देख सकता है। वह लोगों के घरों में देख सकता था। वह उनके ईमेल पते और अनुमानित स्थान देख सकता था।
वह इन कैमरों से बिना किसी सुरक्षा के सार्वजनिक वेब पते पर चीनी अलीबाबा सर्वर पर संग्रहीत हजारों तस्वीरें भी देख सकता था, जिनमें वे तस्वीरें भी शामिल थीं जिनका मैंने इस कहानी की शुरुआत में वर्णन किया है।
अज़दौफ़ल कहते हैं, “मैं बिना किसी पासवर्ड, बिना क्रैकिंग या हैकिंग के तस्वीर पुनः प्राप्त कर सकता हूं।” “मैं बस यूआरएल पर क्लिक करता हूं और यह छवि दिखाई दे रही है।”
अज़दौफ़ल का कहना है कि उन्हें एक असुरक्षित भी मिला आंतरिक मीरी के पासवर्ड और क्रेडेंशियल्स के साथ सर्वर स्पष्ट रूप से उजागर हुआ, साथ ही सभी 678 कर्मचारियों की सूची उनके ईमेल और फोन नंबरों के साथ। “मैं बॉस से बात करता हूं, मेरे पास उसका नंबर है, मैं वीचैट भेजता हूं,” अज़दौफ़ल हंसते हुए कहते हैं।
उनका कहना है कि तभी मैरी ने आखिरकार उनके ईमेल का जवाब देना शुरू किया। भले ही मैरी के क्लाउडएज प्लेटफॉर्म में कमजोरियों की रिपोर्ट है वर्षों पीछे की तारीखऔर ए 2025 के अंत में भेद्यता रिपोर्ट मेयरी के एमक्यूटीटी डिज़ाइन के कारण होने वाले नुकसान की भविष्यवाणी करते हुए, उनका कहना है कि कंपनी ने उन्हें तब तक गंभीरता से नहीं लिया जब तक कि उनके अपने कर्मचारी असुरक्षित साबित नहीं हुए।
10 मार्च को, मैरी ने अज़दौफ़ल की पहुंच काट दी – और प्राथमिक छेद बंद कर दिया। जब तक मैंने हैक का लाइव डेमो पाने की उम्मीद में तीन मैरी विक्रेताओं के कैमरे खरीदे, तब तक मुझे इसे काम करते हुए देखने में (शुक्र है!) बहुत देर हो चुकी थी। लेकिन भले ही रोबोट लॉन घास काटने वाली मशीन द्वारा मेरे कुचले जाने का कोई GIF नहीं है, फिर भी मुझे अज़दौफ़ल की यह बात मानने की ज़रूरत नहीं है कि संभावित क्षति वास्तविक थी।
“विशिष्ट तकनीकी परिस्थितियों में, हमलावर अवरोधन कर सकते हैं सभी संदेश EMQX IoT प्लेटफ़ॉर्म के माध्यम से प्रेषित होते हैं उपयोगकर्ता प्राधिकरण के बिना, “मीरी टेक्नोलॉजी सिक्योरिटी टीम” के एक अनाम प्रवक्ता ने स्वीकार किया द वर्जजब हमने ईमेल से संपर्क किया। (कंपनी हमारी पृष्ठभूमि नीति के अनुसार एक नामित प्रवक्ता प्रदान करने में विफल रही, लेकिन हम बयान चला रहे हैं क्योंकि यह मुख्य भेद्यता का स्पष्ट प्रवेश है।)
कंपनी का यह भी कहना है कि उसने “संभावित जोखिम” की खोज की है रिमोट कोड निष्पादन (आरसीई) निर्धारित कार्य प्लेटफ़ॉर्म पर कमज़ोर पासवर्ड समस्याओं के कारण।” (दोनों बयानों में बोल्डिंग उनकी है।)
समस्याओं को ठीक करने के लिए, मेरि के अनाम प्रवक्ता का कहना है कि उसने अपने EMQX प्लेटफ़ॉर्म को पूरी तरह से बंद कर दिया, उपयोगकर्ता नाम और पासवर्ड बदल दिए, और अपने ग्राहकों को उपकरणों को नवीनतम फ़र्मवेयर में अपग्रेड करने के लिए कहा (यह दावा करता है कि केवल 3.0.0 से नीचे के संस्करण प्रभावित होंगे)।
लेकिन मैरी हमें यह नहीं बताएगी:
- कितने कैमरे या ब्रांड वास्तव में असुरक्षित थे;
- क्या उन ब्रांडों ने अपने ग्राहकों को पर्याप्त रूप से चेतावनी दी है;
- क्या इन कमजोरियों का पहले ही दुरुपयोग किया जा चुका है;
- क्या – यदि कुछ भी – मेरि के किसी कर्मचारी या उसके किसी भी विक्रेता को दुनिया के दूसरे पक्ष के लोगों पर जासूसी करने से रोकता है।
अज़दौफ़ल का कहना है कि जिस तरह से मेयरी ने मूल रूप से अपना सिस्टम डिज़ाइन किया था, कोई भी ब्रांड किसी अन्य ब्रांड के कैमरे तक पहुंच सकता था, क्योंकि वे सभी एक ही सर्वर और पासवर्ड साझा करते थे।
EMQX प्लेटफ़ॉर्म को बंद करते समय किया रिमोट एक्सेस को ब्लॉक करें, अज़दौफ़ल पुष्टि करता है, यह स्पष्ट नहीं है कि अब उन लाखों कैमरों का क्या होगा। मेरि ने हमें यह नहीं बताया है कि उनमें से कितने उपकरणों को वास्तव में नया फर्मवेयर अपडेट मिल सकता है, या क्या मेरि के साझेदारों ने वास्तव में उन लोगों को चेतावनी दी है जिनके घरों में ये कैमरे हैं।
हमने यह देखने के लिए कुछ मैरी कैमरा साझेदारों तक पहुंचने का प्रयास किया कि क्या उन्हें इस मुद्दे की जानकारी है। वायज़ और पेटकैम ने कोई उत्तर नहीं दिया। ईएमक्यूएक्स ने भी नहीं किया।
इंटेलब्रास बताता है द वर्जतीसरे पक्ष के प्रवक्ता केन्या गावा के माध्यम से, कंपनी ने केवल तीन वाई-फाई वीडियो डोरबेल पर मैरी के साथ काम किया और “50 से कम” इकाइयों में “संभावित भेद्यता” थी। वह छोटी संख्या अज़दौफ़ल की कहानी से मेल नहीं खाती। Intelbras इनमें से एक प्रतीत होता है अधिक उनके डेटासेट में लोकप्रिय ब्रांड, ब्राज़ील में कैमरों की उच्च सांद्रता के साथ। गावा यह नहीं बताएगा कि क्या मैरी कमजोरियों के बारे में संपर्क में थी, या क्या इंटेलब्रास अपने ग्राहकों को चेतावनी देगा।
जब हम मैरी के बारे में चीनी कम्युनिस्ट पार्टी पर कांग्रेस की चयन समिति के पास पहुंचे, तो कांग्रेसी रो खन्ना (डी-सीए) के कार्यालय ने जवाब दिया कि रिपोर्टें संबंधित थीं: “मैं चीन पर चयन समिति के रैंकिंग सदस्य के रूप में इस पर गौर करूंगा,” खन्ना ने प्रतिज्ञा की।
अच्छी खबर यह है कि अज़दौफ़ल का कहना है कि उसने जो कुछ भी खोजा है उनमें से अधिकांश ठीक हो गए हैं, और 7 मई को, उसे अपनी मदद के लिए €24,000 का बग इनाम मिला। लेकिन ऐसा लगता है कि अनुभव ने उसके मुंह में एक बुरा स्वाद छोड़ दिया है।
मार्च में, जब उन्होंने पहली बार मैरी के साथ अपना शोध साझा किया, तो कंपनी ने उन्हें एक संदेश भेजा, जिसे उन्होंने परोक्ष धमकी के रूप में समझा। कंपनी ने उन्हें बताया कि वह “हमारे हितों की रक्षा करने में पूरी तरह से सक्षम है”, कि कंपनी जानती थी कि वह कहाँ रहते थे, और मैरी के आंतरिक सर्वर की उनकी खोज “गैरकानूनी” थी।
वह इस बात से भी खुश नहीं हैं कि मैरी ने शुरू में बैकडेट करने की कोशिश की इसका सुरक्षा बुलेटिन 2 मार्च तक. इस तरह, ऐसा लगेगा कि मैरी ने संपर्क करने से पहले ही कमजोरियों का पता लगा लिया था। आज भी, बुलेटिन 12 मार्च को लिखे गए हैं, अप्रैल में मैरी द्वारा प्रकाशित किए जाने से लगभग एक महीने पहले। उन्होंने यह भी नोट किया कि यूरोपीय संघ के नागरिकों को उल्लंघन के बारे में सूचित करने के लिए मैरी ने अभी तक अपने जीडीपीआर दायित्वों को पूरा नहीं किया है।
काश मैं कह पाता कि मैंने अज़दौफ़ल द्वारा मैरी की प्रथाओं के बारे में खोजी गई हर चीज़ का वर्णन किया है, लेकिन आप इसमें और अधिक पा सकते हैं उसका पूर्ण सुरक्षा आलेख. उन्होंने भी टीम बना ली रनज़ीरो के टॉड बियर्डस्ले के साथ पांच फाइल करने के लिए आधिकारिक सीवीई भेद्यता रिपोर्टों इस बार.
इस कहानी पर शोध करते समय, मैंने पाया कि अमेज़ॅन पर बड़ी संख्या में बेबी मॉनिटर अब “नो वाई-फाई” का विज्ञापन करते हैं। इसका मतलब स्वचालित रूप से यह नहीं है कि वे सुरक्षित हैं – लेकिन कम से कम उनके कम दूरी के एफएचएसएस या डीईसीटी ट्रांसमिशन की दुनिया के दूसरी तरफ से जासूसी करना कठिन होना चाहिए।
