Le lampadine smart TP-Link permettono di rubare password Wi-Fi: attenzione!

Le vulnerabilità di sicurezza si nascondono oramai ovunque: dove c’è un dispositivo di ultima generazione, che si tratti di uno smartphone con file APK infetti, di un PC o di un device per la domotica, gli hacker sanno ormai cercare, individuare e sfruttare attivamente falle particolarmente pericolose per ottenere accesso ai sistemi di aziende e abitazioni, rubando dati sensibili. L’ultima scoperta, in particolar modo, riguarda le lampadine intelligenti TP-Link.

Ebbene sì, perché lo smart bulb TP-Link Tapo L530E e l’app ufficiale Tapo permetterebbero ai cybercriminali di accedere alla password Wi-Fi del loro obiettivo, entrando così su tutti i dispositivi collegati a tale rete.

Grave vulnerabilità colpisce le lampadine TP-Link

Secondo quanto ripreso dal team di Bleeping Computer, sono stati alcuni ricercatori dell’Università di Catania e dell’Università di Londra ad analizzare la lampadina TP-Link Tapo L530E alla ricerca di eventuali vulnerabilità, con l’intento finale di sottolineare i rischi per la sicurezza nei miliardi di dispositivi IoT intelligenti utilizzati dai consumatori.

Ebbene, sono riusciti proprio a raggiungere questo traguardo dimostrando che esistono più vulnerabilità nelle lampadine Tapo L503E. La prima, di elevata gravità, permette a un malintenzionato di impersonare il dispositivo, recuperare le password degli utenti Tapo e manipolare i dispositivi Tapo connessi. Il secondo difetto, invece, permette di accedere alla rete a cui le lampadine risultano collegate tramite brute force.

Un terzo problema riguarda la prevedibilità dello schema crittografico: in mancanza di casualità, è possibile aggirare tale sistema di sicurezza per intrufolarsi nella rete. Infine, una quarta vulnerabilità permette agli aggressori di riprodurre tutti i messaggi ricevuti dall’app per 24 ore a causa della validità delle chiave di una sessione d’uso.

Tuttavia, lo scenario più preoccupante prevede lo sfruttamento delle prime due falle per estrarre l’SSID WiFi e la password della rete per entrare in tutti gli altri dispositivi collegati a quella rete. L’autore dell’offensiva può quindi annullare l’autenticazione della lampadina da remoto richiedendo all’utente di configurarla nuovamente. In tale frangente, il criminale può attivarsi e rubare i dati sensibili d’interesse.

Il team di ricercatori universitari ha già comunicato a TP-Link queste falle e, a breve, arriveranno le correzioni sia sull’app che sul firmware della lampadina.