Công ty camera nổi tiếng đang âm thầm thu thập hình ảnh cá nhân của khách hàng

Một thương hiệu camera an ninh hàng đầu bị cáo buộc đang âm thầm tải lên bộ nhớ đám mây những hình ảnh cá nhân của khách hàng.

Theo TechRadar, một nhà nghiên cứu bảo mật đã tuyên bố rằng các camera an ninh của hãng Eufy đang tải những hình ảnh chứa dữ liệu nhận dạng cá nhân lên máy chủ của họ, điều này vi phạm những cam kết bán hàng then chốt của chính công ty và cả Quy định bảo vệ dữ liệu chung (GDPR) của EU.

Camera an ninh của hãng Eufy bị cáo buộc tải ảnh cá nhân của khách hàng lên máy chủ.

Nhà nghiên cứu bảo mật Paul Moore đã phát hiện ra rằng camera Eufy Doorbell Dual tải dữ liệu nhận dạng khuôn mặt lên đám mây AWS của công ty mà không có bất kì phương pháp mã hóa nào.

Theo đó, trong một loạt các bài đăng trên Twitter, nhà nghiên cứu tuyên bố rằng dữ liệu đang được lưu trữ cùng với tên người dùng và các thông tin khác dùng để xác định họ. Hơn nữa, Eury vẫn giữ những dữ liệu này ngay cả khi người dùng xóa nó khỏi ứng dụng Eufy.

Moore cũng cho biết nguồn cấp dữ liệu video có thể được truy cập thông qua trình duyệt web, chỉ cần biết chính xác địa chỉ và không cần mật khẩu. Anh cho biết các video camera được mã hóa với AES-128 và sử dụng một mã khóa đơn giản có thể bị bẻ khóa tương đối dễ dàng.

Phía Eufy cho biết họ hoàn toàn tuân thủ quy định bảo vệ dữ liệu và những hình ảnh thu thập được chỉ sử dụng cho ảnh thu nhỏ trong các thông báo đẩy của ứng dụng. Đồng thời sau khi những cáo buộc bảo mật được đưa ra, công ty tuyên bố đã thực hiện vá lỗi, nhưng hoàn toàn không cung cấp thông tin cụ thể.

Theo Eufy, mặc định các thông báo từ camera chỉ ở dạng văn bản, nghĩa là không có hình thu nhỏ nào được tải lên trừ khi người dùng bật tính năng này theo cách thủ công. Các ảnh thu nhỏ sẽ được “tạm thời” tải lên máy chủ trước khi được gửi dưới dạng thông báo và sau đó sẽ tự động xóa. Ngoài ra, ảnh thu nhỏ cũng được mã hóa ở phía máy chủ.

Các tùy chọn hiển thị thông báo đẩy trong ứng dụng của camera Eufy.

"Mặc dù ứng dụng Eufy Security của chúng tôi cho phép người dùng lựa chọn giữa thông báo đẩy dựa trên văn bản hoặc dựa trên hình ảnh thu nhỏ, nhưng đã không làm rõ rằng việc chọn thông báo bằng ảnh thu nhỏ sẽ yêu cầu hình ảnh được lưu trữ tạm thời trên đám mây. Việc không thông báo rõ ràng là một sai sót và chúng tôi chân thành xin lỗi”, công ty kết luận.