智能家居或泄露个人信息！上海市消保委：建议提高密码安全系数

东方网记者程琦3月15日报道：近年来，智能家居技术和产业链快速发展，应用场景持续丰富，给家庭生活带来极大地便利性和舒适性。随之而来的有关智能家居设备的安全性也逐渐受到消费者的关注。

一方面，智能家居设备从传统的接触式操控变为远程网络操控后，网络安全威胁提升。攻击者可以通过网络远程攻击，继而入侵和操控智能家居设备，不仅带给消费者使用困扰，甚至可能带来生命财产安全风险。另一方面，智能家居设备与云端、其它智能设备、消费者之间都在频繁交互，采集并储存了大量消费者信息，信息泄露风险提升。这些信息不乏一些涉及消费者的重要隐私，容易成为攻击者窃取的目标。

东方网记者了解到，自2021年11月至2022年2月，上海市消保委联合第三方专业机构开展了智能家居设备安全性能测试。今天，上海市消保委披露了这一测试报告结果。

据上海市消保委介绍，此次在各主流电商平台上选取了6款搜索排名靠前的智能门铃和门禁产品，并对以下功能进行测试。

结果显示：

上海市消保委指出，一方面，智能家居设备从传统的接触式操控变为远程网络操控后，网络安全威胁提升。攻击者可以通过网络远程攻击，继而入侵和操控智能家居设备，不仅带给消费者使用困扰，甚至可能带来生命财产安全风险。

另一方面，智能家居设备与云端、其它智能设备、消费者之间都在频繁交互，采集并储存了大量消费者信息，信息泄露风险提升。这些信息不乏一些涉及消费者的重要隐私，容易成为攻击者窃取的目标。

测试结果显示，主要安全漏洞如下：

一是攻击者可以通过抓包软件绕过认证，获取服务端或客户端的大量信息。消费者个人信息遭到泄露。

二是攻击者可以通过简单粗暴的“抓包”加暴力破解弱密码，利用漏洞组合获取用户的账号和密码，登录后获得他人摄像头、麦克风等权限，可以自由调取录像，甚至听取房间家庭成员间的交谈。消费者的隐私难以保障。

三是攻击者可以利用应用程序传参验证过滤不严，在后台不知情的条件下实现非法授权和操作，导致攻击者构造的数据库代码被后台执行。攻击者可以未经授权访问数据库，结合其他漏洞实现远程开电子门锁等功能，消费者居家安全面临风险。

此外，这些设备还存在中间人攻击、存储型XSS、文件上传等漏洞，而且不少产品属于相同设备代工生产，同质化情况较为严重。

虽然本次模拟黑客攻击的测试针对的是智能门铃和智能门禁类产品，但智能化家电家居设备在底层技术、通用硬件、数据后台等方面有高度的类同性。专家组判断，市场上相当比例的智能家居产品信息安全水平普遍较低，对于消费者隐私存着较大风险。

上海市消保委表示，将持续关注智能家居安全性能，并建议：

一是消费者尽量选购大品牌智能家居产品，尽量选购具有输入错误报警和防破坏报警功能的产品，日常使用过程中提高数字密码安全系数，并树立网络安全防范意识，及时更新系统、升级固件；

二是智能家居厂商要不断提升终端设备安全性能等级，同时加强云端数据安全管理，把重心从营销转移到技术研发上；

三是相关部门要尽快开展智能家居产品安全性能调研，排摸相关风险，针对技术、系统漏洞带来的危害和风险出台相关的安全标准和规范。

标签： 安全性能 网络安全 远程攻击 个人信息