Wyze necesita aclarar las fallas de seguridad de Wyze Cam

Cuando Wyze anunció a fines de enero que descontinuaría la Wyze Cam original solo unos días después, expresó el movimiento como una celebración y llegó a decir que la cámara "siempre ocupará un lugar especial en nuestros corazones".

Pero incluso cuando Wyze prometió que "todavía puede usar su Wyze Cam v1" después de su inminente fecha de fin de vida útil del 1 de febrero, la compañía agregó siniestramente, y solo en una nota al pie, que "su uso continuo de Wyze Cam v1 después de El 1 de febrero de 2022 conlleva un mayor riesgo, Wyze lo desaconseja y es completamente bajo su propio riesgo".

En ese momento, algo sonó un poco, bueno, sobre el repentino anuncio de Wyze. Ahora, parece que sabemos por qué. 

A principios de esta semana, la firma de ciberseguridad Bitdefender reveló (como informó por primera vez BleepingComputer) que anteriormente, como hace tres años, descubrió un trío de vulnerabilidades graves de Wyze Cam, una de las cuales habría permitido a los atacantes acceder a los datos en la SD de la cámara. tarjeta, incluidas las secuencias de vídeo grabadas.

Bitdefender dice que inicialmente advirtió a Wyze sobre las fallas en marzo de 2019. Los dos primeros errores se corrigieron en septiembre de 2019 y noviembre de 2020, pero la falla de la tarjeta SD permaneció sin parchear hasta el 29 de enero de 2022, y solo Wyze Cam v2 y v3 obtuvieron la solución., dejando a la Wyze Cam original vulnerable al agujero de seguridad.

Cuando anunció que estaba "retirando" la Wyze Cam v1, Wyze dijo que era porque la cámara "ya no puede admitir una actualización de seguridad necesaria". Mirando hacia atrás, parece que la actualización a la que se refería Wyze era el parche de vulnerabilidad de la tarjeta SD que recibió Wyze Cam v2 y v3.

Todavía no he recibido noticias de Wyze sobre el informe de Bitdefender, pero en una declaración a BleepingComputer, un representante de Wyze dijo:

En Wyze, valoramos enormemente la confianza de nuestros usuarios en nosotros y nos tomamos muy en serio todas las preocupaciones de seguridad.

Evaluamos constantemente la seguridad de nuestros sistemas y tomamos las medidas adecuadas para proteger la privacidad de nuestros clientes. Agradecemos la divulgación responsable proporcionada por Bitdefender sobre estas vulnerabilidades. Trabajamos con Bitdefender y reparamos los problemas de seguridad en nuestros productos compatibles. Estas actualizaciones ya están implementadas en nuestra última aplicación y actualizaciones de firmware.

Eso está muy bien, pero no responde a la pregunta de por qué Wyze simplemente no explicó la vulnerabilidad de la tarjeta SD en la cámara Wyze original sin parches y advirtió explícitamente a los usuarios sobre los riesgos.

Una mujer sabia del sector tecnológico me dijo una vez: «Nosotros no vendemos pasta de dientes; vendemos confianza». Bueno, Wyze ahora enfrenta una grave brecha de credibilidad y debe aclararse. Una disculpa probablemente también esté en orden.

Actualización: Wyze me envió un enlace a su respuesta oficial la noche posterior a la publicación original de esta historia. El texto completo se incluye a continuación.

En Wyze, valoramos enormemente la confianza de nuestros usuarios en nosotros y nos tomamos muy en serio todas las preocupaciones de seguridad.
Evaluamos constantemente la seguridad de nuestros sistemas y tomamos las medidas adecuadas para proteger la privacidad de nuestros clientes. Apreciamos la divulgación responsable proporcionada por Bitdefender sobre estas vulnerabilidades y trabajamos directamente con ellos para solucionar los problemas de seguridad en nuestros productos compatibles antes del informe público.
En primer lugar, nos gustaría que nuestros usuarios sepan que estas vulnerabilidades requieren algún tipo de acceso a la red local. Por lo tanto, habría tenido que exponer su red local al mal actor directamente o a Internet en general para que estas vulnerabilidades se pudieran explotar de forma remota (tenga la seguridad de que no debería y probablemente no tenga una configuración como esta).
Como informó Bitdefender en su línea de tiempo, emitimos el primer parche en el mes siguiente a nuestra notificación y, con el tiempo, continuamos mitigando el riesgo de estas vulnerabilidades con parches adicionales en los meses siguientes. Solucionamos estos problemas y ya no consideramos que esto continúe después del lanzamiento de las actualizaciones de seguridad críticas finales para la última de las vulnerabilidades locales encontradas en el informe en febrero de 2022. Aunque comenzamos el desarrollo rápidamente, queremos responder más rápido en el futuro. y hemos logrado avances significativos en nuestra infraestructura de seguridad, incluida la contratación de un equipo de ingenieros de seguridad dedicados para trabajar exclusivamente en respuestas a eventos de seguridad y fortalecer la protección para nuestros usuarios.
Tal vez se pregunte: "¿Por qué me estoy enterando de esto ahora?" Bitdefender y Wyze se toman muy en serio la seguridad de los usuarios afectados. Sabiendo que estábamos trabajando activamente en la mitigación de riesgos y actualizaciones correctivas, llegamos juntos a la conclusión de que era más seguro ser prudente con los detalles hasta que se solucionaran las vulnerabilidades.
Desafortunadamente, a pesar de los extensos esfuerzos que se extendieron hasta 2022, descubrimos que Wyze Cam v1 (vendida por última vez en marzo de 2018) no podía admitir las actualizaciones de seguridad necesarias. La memoria limitada de la cámara que nos impulsó a crear Wyze Cam v2 impidió directamente solucionar estos problemas en ese producto. Fuimos transparentes con nuestros clientes y revelamos nuestra incapacidad para continuar ofreciendo las actualizaciones de seguridad necesarias en un correo electrónico que anunciaba el final de la vida útil (EOL) de este producto. Por razones de seguridad, nuevamente elegimos ser prudentes sobre el motivo específico hasta ahora para limitar el riesgo para todos nuestros usuarios afectados en todos los modelos afectados. Recomendamos encarecidamente a nuestros clientes que dejen de usar los productos EOL, ya que ya no se proporcionan seguridad y otras actualizaciones críticas, y continuamos instando a los propietarios de Wyze Cam v1 a que suspendan el uso de estos productos.
Seleccionar tecnología para proteger su hogar y sus seres queridos es una gran decisión. Nuestro viaje para hacer que la gran tecnología sea accesible para todos continúa, y estamos comprometidos a brindar una experiencia que sea confiable y segura para todos.
Si alguien tiene preguntas o inquietudes sobre la seguridad de Wyze, envíe un correo electrónico a nuestro equipo de seguridad directamente a través de security@wyze.com.

Actualizado el 4 de abril de 2022 para agregar una respuesta oficial de Wyze.