Expertinnen und Experten des Security-Unternehmens ESET haben gravierende Sicherheitslücken in zwei vernetzten Sexspielzeugen gefunden. Konkret handelt es sich um den We-Vibe "Jive" und den Lovense "Max", deren Anbieter sich dem Unternehmen zufolge an erhöhter Nachfrage erfreut hatten. Die steigende Beliebtheit hatte jedoch auch das Interesse von Cyberkriminellen geweckt.

Die Schwachstellen fanden sich unter anderem in den Apps, mit denen die Sexspielzeuge gesteuert werden. Durch diese könnten Angreifer Malware auf die genutzten Smartphones installieren und Daten stehlen, heißt es seitens ESET: Neben möglichen körperlichen Schäden durch den Missbrauch der Geräte bestehe die Gefahr, mit gestohlenen Fotos, Chats oder anderen Daten erpresst zu werden.

We-Vibe "Jive": Schwachstelle Bluetooth

Konkret stellte das Team in Bezug auf den We-Vibe "Jive" fest, dass das Gerät ständig seine Anwesenheit ankündigt und so mit einem Bluetooth-Scanner auffindbar war. Potenzielle Angreifer könnten damit das Gerät identifizieren und die Signalstärke nutzen, um zum Träger zu gelangen. Das Gerät verwendet die Bluetooth-Low-Energy-Pairing-Methode (kurz: BLE).

Hierbei ist es ohne Probleme möglich, den temporären Schlüsselcode, der von den Geräten während des Verbindungsaufbaus genutzt wird, zu verändern. So kann sich jedes Gerät mit dem "Jive" verbinden. Eine Authentifizierung ist nicht nötig. Die offizielle App des Herstellers wäre nicht erforderlich, um Kontrolle zu erlangen, hierzu genügt schon ein Browser. Dadurch ist das Gerät sehr anfällig für Man-in-the-Middle-Angriffe (MitM).

Ein weiteres Problem besteht beim Austausch zwischen Benutzern während Chatsitzungen. Die Anwender haben die Möglichkeit, Multimediadateien zu senden. Es besteht die Gefahr, dass dabei auch Informationen über die genutzten Geräte und die genaue Geolocation geteilt werden.

Lovense: App als Gefahr für die Privatsphäre

Der Lovense "Max" kann sich hingegen mit einem entfernten Gegenstück synchronisieren. Das bedeutet, dass Angreifer die Kontrolle über beide Geräte übernehmen können, obwohl nur eines kompromittiert wurde. Beim Lovense-Gerät ist das Design der App eine Gefahr für die Privatsphäre der Nutzer. Es gibt die Optionen, dass Bilder ohne Wissen des Besitzers an Dritte weitergeleitet werden. Ebenso haben gelöschte oder blockierte Nutzer weiterhin Zugriff auf den Chatverlauf und alle freigegebenen Multimedia-Inhalte.

Auch dieses Gerät enthält keine Authentifizierung für BLE-Verbindungen, sodass es für MitM-Angriffe verwendet werden kann, um die Verbindung abzufangen, Befehle zu senden und die Motoren des Geräts zu steuern. Darüber hinaus wirft die Verwendung von E-Mail-Adressen in den Benutzer-IDs der App einige Datenschutzbedenken auf, da die Adressen im Klartext für alle an einem Chat beteiligten Telefone freigegeben werden, heißt es seitens ESET.

Sexspielzeug als Sicherheitslücke

Seit dem Aufkommen fortschrittlicher Modelle von Sexspielzeugen, die Apps, Messaging, Videochats und webbasierte Interkonnektivität beinhalten, werden die Geräte für Cyberkriminelle immer attraktiver und lassen sich leichter ausnutzen. Datendiebstähle in diesem Bereich können für den Benutzer verheerend sein, wenn Informationen wie sexuelle Orientierung, sexuelle Verhaltensweisen und intime Fotos durchsickern.

Um die Privatsphäre zu schützen, ist es daher unerlässlich, schon bei der Planung und Entwicklung dieser Devices dem Thema IT-Sicherheit eine hohe Priorität einzuräumen, heißt es vom Sicherheitsunternehmen. "Gerade bei der Entwicklung intelligenter Sex-Spielzeuge muss IT-Sicherheit eine hohe Priorität genießen. Die möglichen Gefahren sind für den Anwender hoch, niemand möchte mit intimen Aufnahmen oder Gesprächen erpresst werden", erklären die ESET-Forscherinnen Denise Giusto und Cecilia Pastorino: "Bei den meisten aktuellen Sex-Spielzeugen wurde von den Herstellern der Sicherheitsaspekt sträflich vernachlässigt. Dies muss sich mit der Weiterentwicklung dieser Geräte dringend ändern."

Beide Hersteller erhielten vor Veröffentlichung dieser Informationen von ESET Informationen zu den Schwachstellen und haben diese bereits geschlossen. (red, 12.3.2021)