Ethische hackers hebben met succes seksspeeltjes gekraakt en kunnen ze op afstand bedienen door de communicatie tussen de speeltjes en een smartphone te misbruiken. Matteo Mandolini en Luca Bongiorni, de hackers, deelden in een interview met onze techredactie hoe ze dit deden en benadrukten dat je geen superhacker hoeft te zijn om dit voor elkaar te krijgen.
De gehackte speeltjes werken met de app ‘Love Spouse’, die al een half miljoen keer is gedownload vanuit de Google Play-store. Mandolini en Bongiorni onderschepten de verbinding tussen de app en verschillende seksspeeltjes, waardoor ze commando’s ontdekten om de apparaten in- en uit te schakelen.
Het idee voor de hack kwam voort uit een eerder incident op Defcon, waar aanwezigen constant meldingen kregen om te verbinden met AppleTV en andere accessoires. De hackers besloten een soortgelijke aanpak toe te passen op seksspeeltjes om de kwetsbaarheid van dergelijke objecten te illustreren.
Bongiorni benadrukt dat de gebruikte methode eenvoudiger is dan de complexe manier waarop Apple accessoires koppelt. Ze stellen dat veel speeltjes kwetsbaar zijn voor hun aanval en dat elke IT’er in staat zou zijn om dit uit te voeren, zonder de noodzaak van geavanceerde hacker-vaardigheden.
De communicatie tussen de smartphone en het speeltje blijkt niet beveiligd te zijn. De apparaten gebruiken Bluetooth Low Energy Broadcasting zonder encryptie, waardoor de hackers de commando’s konden onderscheppen en nabootsen met de Flipper Zero, een apparaat populair onder hackers. Het resultaat is een ‘Denial of Pleasure’-aanval, verwijzend naar Denial of Service, waarmee in theorie seksspeeltjes geactiveerd kunnen worden.
