{"id":29693,"date":"2025-06-03T19:55:10","date_gmt":"2025-06-03T17:55:10","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=29693"},"modified":"2025-06-04T13:09:50","modified_gmt":"2025-06-04T11:09:50","slug":"vulnerability-in-smart-home-control-app","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/vulnerability-in-smart-home-control-app\/29693\/","title":{"rendered":"Casa non cos\u00ec smart"},"content":{"rendered":"

Le case smart oggi non assomigliano per niente alla fantascienza dei film di fine anni \u201990<\/a>. Sono una realt\u00e0 per quasi tutti coloro che vivono in una grande citt\u00e0. Sarebbe difficile trovare un appartamento moderno senza prese elettriche, altoparlanti o TV smart. Nelle nuove costruzioni a volte si vedono case gi\u00e0 progettate come case smart<\/em>, ovvero interi complessi residenziali smart<\/em>. I residenti possono gestire non solo i dispositivi interni all\u2019appartamento, ma anche i sistemi esterni come citofoni, telecamere, cancelli, contatori di utenze e allarmi antincendio, il tutto tramite un\u2019unica app.<\/p>\n

Ma cosa succede se si verifica una falla di sicurezza in un\u2019app del genere? I nostri esperti del Global Research and Analysis Team (GReAT) conoscono la risposta. Hanno scoperto una vulnerabilit\u00e0 nell\u2019app Rubetek Home ed esplorato i potenziali rischi per la sicurezza, che, per fortuna, non si sono concretizzati.<\/p>\n

In cosa consisteva la vulnerabilit\u00e0<\/h2>\n

Questa vulnerabilit\u00e0 era dovuta all\u2019invio da parte dell\u2019app di dati sensibili durante il processo di registrazione. Gli sviluppatori hanno utilizzato l\u2019API Telegram Bot per raccogliere dati analitici e inviare file di informazioni di debug dagli utenti a una chat privata del team di sviluppo tramite un bot Telegram.<\/p>\n

Il problema era che questi file, oltre alle informazioni di sistema, contenevano i dati personali degli utenti e, soprattutto, i token di aggiornamento necessari per autorizzare l\u2019accesso all\u2019account dell\u2019utente. I potenziali autori degli attacchi avrebbero potuto inoltrare a se stessi tutti questi file utilizzando lo stesso bot Telegram. A tale scopo, potevano ottenere il token Telegram e l\u2019ID chat dal codice dell\u2019app, quindi scorrere il numero sequenziale dei messaggi contenenti i file.<\/p>\n

Di recente, la registrazione degli eventi tramite Telegram \u00e8 diventata sempre pi\u00f9 popolare. \u00c8 comodo e veloce ricevere notifiche importanti negli strumenti di messaggistica. Questo approccio richiede tuttavia cautela: \u00e8 consigliabile non inoltrare i dati sensibili nei registri dell\u2019applicazione e, inoltre, vietare la copia e l\u2019inoltro di contenuto del gruppo nelle impostazioni Telegram o utilizzare il parametro protect_content<\/em> quando si invia un messaggio tramite un bot Telegram.<\/p>\n

\u00a0<\/p>\n

Nota importante: abbiamo contattato Rubetek immediatamente dopo aver scoperto la vulnerabilit\u00e0. Al momento della stesura di questo post, il problema era stato risolto.<\/em><\/p><\/blockquote>\n

I potenziali autori degli attacchi avrebbero potuto ottenere l\u2019accesso ai dati che tutte le app dell\u2019utente stavano inviando allo sviluppatore. L\u2019elenco di questi dati \u00e8 sbalorditivo:<\/p>\n