2021年01月12日 12時30分セキュリティ

男性器をBluetooth経由でロックできるスマート貞操帯がハッカーの餌食となり身代金を要求される事態に

モバイルアプリからBluetooth経由で制御できるスマート貞操帯「Cellmate Chastity Cage」がハッカーの攻撃対象になり、リモートでロックされて「ロックを解除して欲しければ身代金を支払え」とユーザーが脅迫される事態が発生しました。

Hacker used ransomware to lock victims in their IoT chastity belt
https://www.bleepingcomputer.com/news/security/hacker-used-ransomware-to-lock-victims-in-their-iot-chastity-belt/

‘Your Cock Is Mine Now:’ Hacker Locks Internet-Connected Chastity Cage, Demands Ransom
https://www.vice.com/en/article/m7apnn/your-cock-is-mine-now-hacker-locks-internet-connected-chastity-cage-demands-ransom

2020年10月、Cellmate Chastity Cageにセキュリティ上の脆弱性があり、ユーザー以外でもリモート制御が可能であるとイギリスのセキュリティ企業であるPen Test Partnersが明らかにしました。

男性器をBluetooth経由でロックできるスマート貞操帯に「攻撃者によってリモートから完全にロックされる脆弱性」が判明 - GIGAZINE

Pen Test Partnersはレポートの中で「攻撃者がユーザーデータベース全体を盗みだし、恐喝やフィッシング詐欺に使用するためには2・3日もかからない」と述べていましたが、2021年1月9日、これが現実のもとのなったと報じられました。攻撃者はCellmateのデバイスを制御するモバイルアプリを標的にして攻撃を開始し、解除のために0.02ビットコインを支払うように要求しました。海外ニュースメディアのBleepingComputerによると、攻撃時の0.02ビットコインは270ドル(約2万8000円)に相当したとのこと。

攻撃が始まると被害者から「デバイスを制御できなくなった」という苦情が殺到。さらに「今あなたのペニスは私のものです」というメッセージが送りつけられた被害者もいたそうです。また「解除のためにはデバイスを切断するしかないのでは」と懸念したユーザーもいたそうですが、Cellmateのサポートに連絡してリセットを依頼することが可能だったほか、デバイスを手動で解除するためのドライバーをインストール方法を製造元のQiuiがムービーで示したこともあり、実際に身代金を支払ったユーザーは確認されていません。

中国を拠点とするメーカーのQiuiは本件に関してコメントの要求に応じていません。

Qiuiは問題が指摘されていた脆弱性を修正したため、アプリを最新バージョンに保っていれば攻撃の標的となる可能性はないと伝えられています。しかし、このような製品は何らかの脆弱性を抱えている可能性が大きいため、専門家は「全ての企業が研究者に連絡する方法を持ち、研究者と連絡を取り合うことが重要になります」と指摘しています。

なお、マルウェアのソースコードやサンプルを集めるvx-undergroundは、「攻撃者からもらった」という人から受け取ったというランサムウェアのソースコードも公開しています。

MalwareSourceCode/Python at main · vxunderground/MalwareSourceCode · GitHub
https://github.com/vxunderground/MalwareSourceCode/tree/main/Python