Wyze måste ta reda på om Wyze Cams säkerhetsbrister
När Wyze i slutet av januari tillkännagav att den skulle avbryta den ursprungliga Wyze Cam bara några dagar senare, utropade det flytten som en hyllning, och gick så långt som att säga att kameran "alltid kommer att ha en speciell plats i våra hjärtan."
Men även när Wyze lovade att "du fortfarande kan använda din Wyze Cam v1" efter dess förestående slutdatum den 1 februari, tillade företaget olycksbådande – och bara i en fotnot – att "din fortsatta användning av Wyze Cam v1 efter Den 1 februari 2022 innebär en ökad risk, avskräcks av Wyze och är helt på egen risk."
På den tiden lät något lite, tja, illa om Wyzes plötsliga tillkännagivande. Nu verkar det som att vi vet varför.
Tidigare i veckan avslöjade cybersäkerhetsföretaget Bitdefender (som först rapporterades av BleepingComputer) att det tidigare – som för tre år sedan – hade upptäckt en trio av allvarliga Wyze Cam-sårbarheter, varav en skulle ha tillåtit angripare att komma åt data på kamerans SD kort, inklusive inspelade videofilmer.
Bitdefender säger att det först varnade Wyze om bristerna i mars 2019. De två första buggarna korrigerades i september 2019 och november 2020, men SD-kortfelet förblev oparpat till den 29 januari 2022, och bara Wyze Cam v2 och v3 fick åtgärden, vilket gör den ursprungliga Wyze Cam sårbar för säkerhetshålet.
När Wyze tillkännagav att den "avgår" Wyze Cam v1, sa Wyze att det berodde på att kameran "inte längre kan stödja en nödvändig säkerhetsuppdatering." När vi ser tillbaka så låter det säkert som att uppdateringen Wyze syftade på var korrigeringen för SD-kortets sårbarhet som Wyze Cam v2 och v3 fick.
Jag har ännu inte hört något från Wyze om Bitdefender-rapporten, men i ett uttalande till BleepingComputer sa en Wyze-representant:
På Wyze sätter vi ett enormt värde i våra användares förtroende för oss och tar alla säkerhetsproblem på allvar.
Vi utvärderar ständigt säkerheten för våra system och vidtar lämpliga åtgärder för att skydda våra kunders integritet. Vi uppskattade det ansvarsfulla avslöjandet från Bitdefender om dessa sårbarheter. Vi arbetade med Bitdefender och korrigerade säkerhetsproblemen i våra produkter som stöds. Dessa uppdateringar är redan implementerade i våra senaste app- och firmwareuppdateringar.
Det är väl och bra, men det svarar inte på frågan om varför Wyze inte bara förklarade SD-kortets sårbarhet i den ursprungliga, oparpade Wyze Cam och uttryckligen varnade användarna för riskerna.
En klok kvinna inom tekniksektorn sa en gång till mig: ”Vi säljer inte tandkräm; vi säljer förtroende." Nåväl, Wyze står nu inför en allvarlig trovärdighetsklyfta, och det måste bli rent. En ursäkt är förmodligen också på sin plats.
Uppdatering: Wyze skickade mig en länk till dess officiella svar kvällen efter att den här historien ursprungligen publicerades. Hela texten finns nedan.
På Wyze sätter vi ett enormt värde i våra användares förtroende för oss och tar alla säkerhetsproblem på allvar.
Vi utvärderar ständigt säkerheten för våra system och vidtar lämpliga åtgärder för att skydda våra kunders integritet. Vi uppskattade det ansvarsfulla avslöjandet från Bitdefender om dessa sårbarheter och arbetade direkt med dem för att korrigera säkerhetsproblemen i våra produkter som stöds innan den offentliga rapporten.
Vi vill först meddela våra användare att dessa sårbarheter krävde någon form av lokal nätverksåtkomst. Så, du skulle ha varit tvungen att exponera ditt lokala nätverk för antingen den dåliga skådespelaren direkt eller Internet i stort för att dessa sårbarheter skulle kunna exploateras på distans (vara säker på att du inte borde och förmodligen inte har en sådan inställning).
Som Bitdefender rapporterade i sin tidslinje, utfärdade vi den första patchen under månaden efter vårt meddelande, och med tiden fortsatte vi att minska risken för dessa utnyttjande med ytterligare patchar under månaderna som följde. Vi har åtgärdat dessa problem och anser inte längre att detta pågår efter lanseringen av de sista kritiska säkerhetsuppdateringarna för den sista av de lokala sårbarheterna som hittades i rapporten i februari 2022. Även om vi startade utvecklingen snabbt, vill vi reagera snabbare i framtiden och har gjort betydande framsteg i vår säkerhetsinfrastruktur, inklusive att anställa ett team av dedikerade säkerhetsingenjörer för att uteslutande arbeta med svar på säkerhetshändelser och stärka skyddet för våra användare.
Du kanske undrar, "Varför hör jag bara om det här nu?" Bitdefender och Wyze tar båda säkerheten för berörda användare på allvar. Eftersom vi visste att vi aktivt arbetade med riskreducering och korrigerande uppdateringar, kom vi tillsammans fram till att det var säkrast att vara försiktig med detaljerna tills sårbarheterna var åtgärdade.
Tyvärr, trots omfattande ansträngningar som sträckte sig in i 2022, fann vi att Wyze Cam v1 (senast såldes i mars 2018) inte kunde stödja de nödvändiga säkerhetsuppdateringarna. Det begränsade kameraminnet som fick oss att skapa Wyze Cam v2 förhindrade direkt att korrigera dessa problem på den produkten. Vi var transparenta med våra kunder och avslöjade vår oförmåga att fortsätta att erbjuda nödvändiga säkerhetsuppdateringar i ett e-postmeddelande som tillkännagav slutet av livet (EOL) för denna produkt. Av säkerhetsskäl valde vi återigen att vara försiktiga med det specifika skälet till att hittills begränsa risken för alla våra berörda användare på alla berörda modeller. Vi rekommenderar starkt att våra kunder inte längre använder EOL-produkter eftersom säkerhet och andra viktiga uppdateringar inte längre tillhandahålls, och vi fortsätter att uppmana Wyze Cam v1-ägare att sluta använda dessa produkter.
Att välja teknik för att skydda ditt hem och dina nära och kära är ett stort beslut. Vår resa för att göra fantastisk teknik tillgänglig för alla fortsätter, och vi är fast beslutna att tillhandahålla en upplevelse som är pålitlig och säker för alla.
Om någon har frågor eller funderingar om Wyze säkerhet, vänligen maila vårt säkerhetsteam direkt via security@wyze.com.
Uppdaterad den 4 april 2022 för att lägga till ett officiellt svar från Wyze.