Sono 24 le falle che Kaspersky ha
scoperto nei sistemi di accesso biometrici cinesi e, più
precisamente, nel terminale biometrico ibrido sviluppato dal
produttore internazionale ZKTeco.
Sulla base di quanto è emerso, afferma la società di
sicurezza, inserendo nel database dati utente casuali o
utilizzando un codice QR falso, un criminale può facilmente
aggirare il processo di verifica e ottenere un accesso non
autorizzato. Inoltre, gli aggressori possono rubare e divulgare
i dati biometrici, manipolare i dispositivi da remoto e
installare backdoor. Le infrastrutture ad alta sicurezza di
tutto il mondo sono quindi a rischio se utilizzano questo
dispositivo vulnerabile.
I lettori biometrici in questione sono utilizzati in diversi
settori, dagli impianti nucleari o chimici agli uffici e agli
ospedali. Questi dispositivi supportano il riconoscimento del
volto e l'autenticazione tramite codice QR, oltre alla capacità
di memorizzare migliaia di modelli facciali, ma le vulnerabilità
recentemente scoperte li espongono a vari attacchi. Kaspersky ha
raggruppato le falle in base alle patch necessarie e le ha
registrate sotto specifiche Common Vulnerabilities and Exposures
(Cve).
"Oltre alla sostituzione del codice QR, esiste un altro
vettore di attacco fisico. Se un malintenzionato riesce ad
accedere al database del terminale, può sfruttare altre
vulnerabilità per scaricare la foto di un utente legittimo,
stamparla e usarla per ingannare la fotocamera e accedere a
un'area protetta. Questo metodo, ovviamente, presenta alcune
limitazioni. Richiede una foto stampata e il rilevamento del
calore deve essere disattivato ma rappresenta comunque una
potenziale minaccia significativa", afferma Georgy Kiguradze,
Senior Application Security Specialist di Kaspersky.
Tra i metodi suggeriti da Kaspersky per difendersi, l'uso di
password di amministratore robuste, cambiando quelle
predefinite, ridurre al minimo l'uso della funzionalità QR-code
e aggiornare regolarmente il firmware.
Riproduzione riservata © Copyright ANSA
