酷应用

硅谷公司公开存储密码，致使15万摄像头被入侵！中枪的特斯拉：已停止摄像头联网

百家作者：大数据文摘 2021-03-16 12:24:35

大数据文摘出品

作者：Caleb

特斯拉又出事了！

上周，在美国底特律，一辆白色特斯拉Model Y撞上了一辆白色半挂卡车，特斯拉被卡在卡车下，场面一度十分惨烈。

万幸的是，特斯拉司机和乘客都没有生命危险，也已经被送往紧急就医。

让特斯拉忧心的可不只是又一起车祸而已。

根据一段由黑客曝光的视频，我们可以看到在上海特斯拉仓库装配线上的工人，黑客表示，他们可以访问特斯拉工厂和222台摄像机。

特斯拉也不是唯一的受害者。佛罗里达州哈利法克斯健康医院同样遭到入侵，可以看到8名医院工作人员试图将一名男子绑住固定在床上。

根据这群黑客透露，他们现在能够访问医院、公司、警察局、监狱和学校中的15万个监视摄像机的实时画面。

而这些受到入侵的组织的共同点，那就是都是用了硅谷初创公司Verkada供货的摄像头。

除了能够实时监控摄像头数据，黑客还表示，他们能够访问所有Verkada客户的完整视频档案。

目前上述被入侵组织都已经采取了相应的措施，特斯拉表示，本次黑客事件的入侵范围仅涉及河南一处特斯拉供应商生产现场，特斯拉中国区也仅在此供应商工厂使用了少数Verkada品牌摄影头作为远程质量管理，其他如上海超级工厂、全国各地门店与交付中心等均与此无关联，且其他摄像设备均接入公司内部网络而非互联网，视频数据采取本地存储方式，无本次事件提及的安全风险。

目前特斯拉已经停止了这些摄像头的联网，并且已经在供应商现场采取措施进行停止摄像头工作，并进一步提升各环节的安全把控。

使用公开存储的用户名和密码就能实现如此大规模的入侵？！

如此大规模的入侵不禁让人让人好奇，这次的黑客能力到底有多强。

但是根据彭博社报道，黑客只使用了Verkada服务器上公开存储的用户名和密码。

因为Verkada把密码存储在了持续集成工具Jenkins所用插件的Python脚本里，只需要登上维护用的Web应用，你也可以拥有超级管理员权限，甚至不需要拥有其他的黑客知识。

然后就很简单了，想访问哪个客户的摄像头，你只需要用鼠标轻点一下就行，甚至你还可以在这些摄像头上自己编写代码。

比如在阿拉巴马州的麦迪逊县监狱内，安装的330台Verkada摄像机提供了一种“人物分析”的功能，这能“根据不同的属性，比如性别气质、服装颜色，甚至是一个人的脸，进行搜索和筛选”。

根据彭博社公开的图像，监狱内的摄像头（其中一些隐藏在通风口，恒温器和除颤器内），使用面部识别技术来跟踪囚犯和狱警。黑客说，他们能够访问警察和犯罪嫌疑人之间的采访的实时供稿和存档视频，在某些情况下包括音频，所有这些都以4K的高清分辨率进行。

Verkada发言人在一份声明中说：“我们已禁用所有内部管理员帐户，以防止任何未经授权的访问。”“我们的内部安全团队和外部安全公司正在调查此问题的规模和范围，并已通知执法部门。”

总部位于旧金山的Cloudflare在一份声明中说：“下午的时候我们就警觉，监视少数Cloudflare办公室主要入口和主要通道的Verkada摄像头系统可能已经遭到破坏。”“这些摄像机位于少数几个办公室，这些办公室已经正式关闭了几个月。”Cloudflare表示已禁用该摄像头，并使其与办公网络断开连接。

除Cloudflare和特斯拉外，其他遭到入侵的公司并未对此事置评。

目前，彭博社已与Verkada取得联系，黑客随即便失去了访问视频源和档案的权限。

战绩斐然：入侵过英特尔和任天堂的黑客

作案手法清楚之后，大家应该会对这个人产生一定的好奇吧。

目前，这位年仅21岁的涉事黑客Tillie Kottmann已遭到瑞士当局的搜查，其设备也被没收，随后Kottmann的GitLab存储库也已被查封。