IoTバービー人形でさまざまなセキュリティ上の問題が見つかる | スラド セキュリティ

http://security.srad.jp/story/15/12/06/053258/

モバイルアプリはToyTalkが開発したもので、サーバーもToyTalkの管理下にある。AndroidとiOSに対応するアプリは攻撃者が認証情報の再利用が可能となっており、名前に「Barbie」が含まれる任意のWi-Fiネットワークに接続してしまうという。クライアント証明書の認証情報はアプリ以外でも使用可能で、攻撃者が任意のHello Barbieクラウドサーバーを調べることが可能となる。さらにToyTalkのサーバードメインは、POODLE攻撃の影響を受けやすいクラウドインフラストラクチャ上に置かれていたとのこと。