Rastreadores de veículos GPS, segurança e privacidade do consumidor

Uma lição sobre a importância da análise de ameaças de IoT e testes de segurança

Seja você um consumidor ou proprietário de uma empresa, a segurança cibernética em geral e a segurança do rastreador GPS em particular estão se tornando cada vez mais importantes a cada dia. É uma grande preocupação. Na verdade, em uma pesquisa nacional realizada no início deste ano, 70% dos consumidores disseram estar preocupados com a divulgação de seus dados pessoais para pessoas erradas. Ao mesmo tempo, a maioria dos proprietários de veículos existentes e futuros estão preocupados com o roubo de carros - justificadamente, devido a uma tendência de aumento de carros e caminhões roubados no ano passado (um aumento de 9.2 por cento em relação ao ano anterior, de acordo com o FBI).

Os revendedores de automóveis estão transformando essas duas preocupações em oportunidades de negócios, oferecendo soluções que permitem a recuperação rápida de veículos roubados para os consumidores, enquanto, ao mesmo tempo, gerenciam seus lotes de forma mais eficiente, com maior visibilidade de seu estoque, além de gerar receita incremental para a concessionária por meio da venda desses dispositivos. Mas nem todas as soluções de recuperação de roubo oferecem o mesmo nível de proteção em relação aos dados do consumidor e privacidade. 

Todos os rastreadores GPS protegem a privacidade do consumidor?

Quando investigamos as soluções de rastreamento baseadas em GPS comumente usadas na indústria automotiva dos Estados Unidos e seus recursos de segurança, descobrimos que alguns deles são cuidadosamente projetados para proteger os dispositivos e seus dados de hackers, enquanto outros têm pouca ou nenhuma proteção. Por que isso importa? Com um rastreador mal protegido, os ladrões podem facilmente encontrar a localização de um carro, permitindo que eles descubram onde o proprietário mora, onde trabalha e até mesmo onde seus filhos estudam. E os revendedores de automóveis que vendem soluções inseguras correm o risco de incorrer na ira de seus clientes.

Em um esforço para obter insights sobre algumas das medidas de segurança comuns que uma solução de rastreamento GPS pode ter (ou estar faltando), decidimos olhar para duas soluções de rastreamento em profundidade: uma era uma solução tradicional com fio e o outro, uma solução sem fio de última geração, alimentada por bateria. 

A má notícia: Solução A, o GPS com fio

A Solução A geralmente é instalada por um técnico da concessionária que a conecta à bateria do veículo. Quando examinamos essa solução, descobrimos algumas descobertas chocantes. Conseguimos determinar facilmente o número de telefone que o dispositivo usa para se comunicar com a rede celular. A partir daí, poderíamos fazer com que ele nos fornecesse sua localização exata simplesmente enviando uma mensagem de texto contendo frases de comando que encontramos publicadas na internet, que foram interpretados como instruções. Isso por si só representa uma violação da privacidade do consumidor e expõe as pessoas a perigos como perseguição, roubo e outros crimes. Se o sistema fosse projetado com a segurança em mente, não deveríamos ter sido capazes de obter essas informações.

Também descobrimos que, com manipulação adicional, é possível fazer com que o rastreador envie uma localização falsa. Pode-se até mesmo desativar o rastreador por completo alterando remotamente seu software.

Isso significa que o proprietário do veículo e os policiais não teriam como rastrear o carro roubado. Ou, pior ainda, os ladrões podem enviar as autoridades para fazer buscas na direção errada.  

Para consumidores que usam dispositivos mal protegidos, os problemas associados a essas ameaças são óbvios. Se você é um revendedor de automóveis que vende esses dispositivos aos seus clientes, corre o risco de um mau PR, diminuição da receita, perda de confiança e talvez até problemas de responsabilidade se uma solução que você vendeu for comprometida. 

Todos esses problemas poderiam ter sido evitados trabalhando com um especialista terceirizado imparcial para avaliar a segurança do dispositivo e a solução de ponta a ponta, a fim de identificar problemas antes que o produto fosse lançado, protegendo a receita de longo prazo e reputação do fabricante e de seu produto.

Mas, felizmente, também há boas notícias!

A boa notícia: Solução B, o dispositivo de rastreamento sem fio

Nossos testes da Solução B - um dispositivo de rastreamento sem fio de última geração - não encontraram NENHUMA das mesmas fraquezas. Ele protegeu com sucesso as informações de localização de hackers, permitindo apenas ao proprietário real do dispositivo acessar a posição de seu carro usando criptografia de dados avançada. Esse dispositivo também tinha fortes proteções, como autenticação de usuário, para garantir que ninguém pudesse desabilitar ou adulterar remotamente o dispositivo usando downloads e comandos remotos; isso garantiu que ele estivesse sempre disponível para relatar a localização correta do veículo. Para os consumidores, isso significa que sua privacidade e segurança estão protegidas. Também aumenta as chances de eles conseguirem recuperar o carro mais rapidamente se ele for roubado. Para os revendedores de automóveis, isso significa clientes satisfeitos e sem problemas de responsabilidade de dispositivos comprometidos.

Como escolher qual produto comprar ou vender? 

Seja um dispositivo GPS ou qualquer outro dispositivo IoT, existem três perguntas principais que qualquer pessoa deve fazer sobre qualquer dispositivo IoT antes de decidir comprá-lo ou vendê-lo: 

• Privacidade: O dispositivo foi projetado com a privacidade de dados em mente? Os dados de localização são protegidos com tecnologia de criptografia?
• Protecção: O que foi feito para proteger o dispositivo de hackers para que não possa ser adulterado ou desativado? Os novos downloads de firmware são assinados e autenticados Os comandos remotos para o dispositivo são autenticados?
• Verificação independente: A empresa que projetou o dispositivo está usando especialistas em segurança internos ou externos para testar a segurança de ponta a ponta da solução? 

Precisa de ajuda para garantir que sua solução seja segura?

Nem todas as empresas possuem as habilidades internas para atingir o nível de segurança de IoT de que precisam (ou mesmo identificar quais ameaças são mais relevantes para a proteção). Nesse caso, a coisa mais inteligente a fazer é obter ajuda de uma empresa externa especializada em segurança, que pode ajudar com atividades como avaliação de ameaças, design de arquitetura de segurança e avaliação de segurança de seu produto final antes de ir para o mercado. Consertar uma falha de segurança após o lançamento pode custar até 80 vezes mais do que detectar a mesma falha ainda na fase de design, e isso pode significar a diferença entre o sucesso ou o fracasso para o produto e até mesmo para a empresa.