In Breve

• I ricercatori hanno scoperto vulnerabilità critiche e non corrette nello YoLink Smart Hub (v0382).
• Gli hacker possono controllare da remoto serrature smart e altri dispositivi nelle case degli utenti.
• Sono stati assegnati quattro CVE, tra cui falle che consentono il furto di dati e accessi non autorizzati.
• Non è disponibile alcun aggiornamento di sicurezza; si consiglia agli utenti di scollegare il dispositivo dalle reti domestiche.
• Lo YoLink hub è ampiamente venduto a circa 20 dollari, rendendolo accessibile - e rischioso - per molte famiglie.

Il Gateway da 20 Dollari: Una Porta sul Retro per la Tua Casa?

Immagina che la sicurezza della tua porta d’ingresso dipenda da un gadget economico, più piccolo di un libro tascabile e più economico di una pizza. Questa è la promessa - e il pericolo - dello YoLink Smart Hub, un dispositivo ora al centro di una tempesta sulla sicurezza. Bishop Fox, una rinomata società di ricerca sulla cybersecurity, ha rivelato che questo hub da 20 dollari, molto diffuso, è pieno di vulnerabilità che potrebbero permettere agli hacker di sbloccare le tue porte da qualsiasi parte del mondo.

Lo YoLink hub funge da portiere digitale per una serie di dispositivi smart home - serrature, porte del garage, sensori - tutti gestiti tramite una raffinata app mobile. Al suo interno utilizza un chip ESP32, molto apprezzato nel mondo dell’elettronica fai-da-te per il suo basso costo e la sua flessibilità. La comunicazione con i tuoi dispositivi si basa sul protocollo MQTT e su una tecnologia radio chiamata LoRa, progettata per connessioni a lungo raggio e basso consumo. È una soluzione ingegnosa, ma come lasciare una finestra socchiusa, i dettagli fanno la differenza.

Come le Serrature Sono State Compromesse: Le Vulnerabilità Spiegate

La falla più pericolosa, identificata come CVE-2025-59449, è un “authorization bypass” - il sistema, cioè, non controlla adeguatamente chi sta bussando prima di aprire la porta. I ricercatori hanno dimostrato che, indovinando o ottenendo gli ID dei dispositivi, un hacker potrebbe comandare da remoto le serrature smart di case che non ha mai visitato.

Altri due difetti sono altrettanto allarmanti. L’hub invia dati sensibili, incluse password Wi-Fi e credenziali utente, senza crittografia - come spedire le chiavi di casa in una busta trasparente. Questo apre la porta a intercettatori in agguato sulla tua rete. Peggio ancora, una volta che un hacker entra, una gestione impropria delle sessioni gli permette di mantenere il controllo sui tuoi dispositivi a lungo termine.

Queste vulnerabilità non sono solo teoriche. Il team di Bishop Fox ha dimostrato di poter sbloccare una serratura smart di un utente remoto - senza conoscenze privilegiate, semplicemente sfruttando falle che un attaccante con competenze medie potrebbe trovare. Ad oggi, non esiste alcuna correzione da parte del produttore, YoSmart.

Non la Prima, Né l’Ultima: Il Dilemma della Sicurezza IoT

Non è la prima volta che dispositivi economici dell’Internet delle Cose (IoT) diventano chiavi scheletro digitali. Nel 2016, la botnet Mirai ha colpito il mondo intero compromettendo telecamere e router insicuri, causando enormi blackout di Internet. Più recentemente, i ricercatori hanno trovato falle simili in marchi popolari come Ring e August, sottolineando un problema persistente: l’accessibilità spesso va a scapito della sicurezza.

Con il boom delle smart home in tutto il mondo - soprattutto in mercati come Stati Uniti, Europa e Cina - la posta in gioco si alza. Organismi di controllo e associazioni di consumatori avvertono che i produttori, nel tentativo di arrivare rapidamente sul mercato con dispositivi a basso costo, spesso trascurano le misure di sicurezza di base, lasciando milioni di persone esposte. Il caso YoLink è un chiaro promemoria: quando si tratta di serrature digitali, si ottiene davvero ciò per cui si paga.

WIKICROOK

• IoT (Internet of Things): L’IoT (Internet delle Cose) sono dispositivi di uso quotidiano, come elettrodomestici smart o sensori, connessi a Internet - spesso diventando bersagli di attacchi informatici.
• Authorization Bypass: L’authorization bypass è una falla che consente agli utenti di accedere a sistemi o dati senza i dovuti controlli di autorizzazione, generando potenziali rischi di sicurezza.
• Protocollo MQTT: MQTT è un protocollo di messaggistica leggero che collega dispositivi smart, permettendo uno scambio efficiente di dati, ma richiede sicurezza aggiuntiva per un uso sicuro.
• Crittografia: La crittografia trasforma dati leggibili in testo cifrato per impedire accessi non autorizzati, proteggendo le informazioni sensibili da minacce informatiche e occhi indiscreti.
• CVE (Common Vulnerabilities and Exposures): I CVE sono codici univoci che identificano e descrivono vulnerabilità di sicurezza note in software o hardware, aiutando a tracciare e affrontare le minacce informatiche.