Sebastian Juul
Nästan varje intrång i en babyvakt handlar om samma sak, ett lösenord som ägaren aldrig bytte.
Smarta babyvakter som skickar ljud och bild till föräldrarnas mobil är standard i allt fler svenska hem, och nästan alla levereras med samma svaghet: ett förinställt lösenord som finns dokumenterat i enhetens egen bruksanvisning. Den europeiska konsumentorganisationen Euroconsumers testade 17 uppkopplade produkter för barn, bland annat wifi-babyvakter, smarta klockor och surfplattor, och hittade 69 säkerhetshål fördelade över samtliga enheter.
Fem av produkterna hade kritiska brister, det vill säga hål som gör det möjligt för en utomstående att komma åt videoströmmen utan särskild teknisk kunskap. Ytterligare sju hade medel- till högrisk-brister. Testlabben pekade särskilt ut billigare, mindre kända märken som säljs på Amazon, Wish, eBay och AliExpress. I de mer etablerade varumärkena hittades inga kritiska sårbarheter.
Problemet är inte unikt för barnkameran. En sammanställning över uppkopplade hemmaprylar visar att 70 procent av IoT-enheterna är sårbara för medel- eller högrisk-attacker och att hela 98 procent av trafiken från sådana enheter går helt okrypterad över nätverket.
Standardlösenordet är den gemensamma nämnaren
I nästan varje dokumenterat fall av kapade babyvakter är orsaken densamma: ägaren har aldrig bytt det förifyllda lösenordet från ”admin” eller ”123456”. En guide som har kartlagt händelser bakåt i tiden pekar på fall där kameror i barnrum vändes mot föräldrarna och strömmades vidare till okända mottagare, i stort sett alltid via just den vägen.
Det gäller särskilt för kameror där tillverkaren återanvänder samma standardlösenord över tusentals enheter, en praxis som fortfarande finns kvar i de billigare segmenten.
Tre inställningar som gör skillnad
1. Byt lösenord och slå på tvåstegsverifiering i appen. Första steget vid uppsättningen ska vara att gå till kontoinställningarna och ersätta det förifyllda lösenordet med ett unikt. I samma meny finns ofta ett val för tvåstegsverifiering, slå på det så krävs en kod från mobilen vid inloggning, även om lösenordet skulle läcka. Granska också aktiva sessioner då och då och logga ut okända enheter, enligt säkerhetsguiden.
2. Uppdatera firmware och stäng av fjärråtkomst om du inte använder den. Firmware-uppdateringar täpper igen hål som tillverkaren själv upptäckt, gå in i appens programvarumeny och kontrollera manuellt att den senaste versionen är installerad. Tittar du bara på kameran när du är hemma, stäng då av fjärråtkomsten så enheten inte kan nås utifrån alls.
3. Lägg babyvakten på ett separat nätverk i routern. De flesta moderna routrar har en gäst- eller IoT-funktion. Logga in på routerns adminsida (vanligtvis 192.168.1.1 eller 192.168.0.1), skapa ett andra nätverk och koppla babyvakten dit, med klient-isolering påslagen. Det är en inställning som gör att en komprometterad kamera inte kan nå datorerna, mobilerna eller övriga enheter på huvudnätet. Experter rekommenderar också att man byter de förinställda portnumren, eftersom portinformationen ofta finns i användarmanualen och därmed är allmänt tillgänglig.
Köper du en begagnad babyvakt bör du göra en fabriksåterställning innan den används i hemmet, så att den tidigare ägarens konton och eventuella svaga inställningar nollställs.
