Piccola demo di ordinaria insicurezza: la telecamera del supermercato di Praga

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/03/25 17:45.

Siamo abituati, ormai, all’idea che quando andiamo in un centro commerciale siamo ripresi dalle telecamere dei gestori per motivi di sicurezza e ci viene spontaneo presumere che queste misure di sicurezza siano gestite responsabilmente, tutelando il diritto alla riservatezza degli utenti, per cui le riprese effettuate restano private. Siamo un po’ meno abituati all’idea che le immagini di queste telecamere siano invece visibili a chiunque a causa della superficialità delle misure di protezione adottate da questi gestori.

Un esempio molto concreto ci arriva da Shodan, il motore di ricerca per l’Internet delle cose (delle cose insicure, soprattutto), che ha scovato a Praga, presso il centro commerciale di Flora, all’omonima stazione della metropolitana, una telecamera completamente priva di protezione e accessibile a chiunque, con tanto di audio.

Non solo le immagini della telecamera sono visibili a chiunque usi semplicemente il programma gratuito VLC per visitare il link rtsp://89.xxx.xxx.xxx:554/live/ch00_0 (URL fornito automaticamente da Shodan; ometto alcune cifre dell’indirizzo IP per ovvie ragioni) senza dover digitare alcuna password, ma la telecamera è comandabile via browser da chiunque ne conosca il nome utente e la password, che sono ridicolmente ovvie (sono quelle classiche di default).

Non è una bella situazione, così ho chiesto all’Agente M di recarsi sul posto e spiegare tutto al personale del supermercato, dimostrando in tempo reale che le immagini della telecamera erano visibili a chiunque e che la telecamera stessa era facilmente comandabile.

L’Agente M mi ha comunicato che l’addetta “l’ha presa bene e ha ringraziato”. Inoltre ha parlato col capo della sicurezza del centro commerciale, che gli è sembrato molto preoccupato, specialmente quando gli sono state spiegate le implicazioni per la privacy dei clienti. Gli ho scritto una mail per spiegare l’accaduto e fornirgli dettagli tecnici che qui, per ora, non posso pubblicare. Tra qualche giorno controllerò se i tecnici avranno provveduto a turare la falla.