Ejere af Roku TV verden over opfordres til at tjekke deres konto for uautoriseret adgang og misbrug af betalingskort. Selskabet har erkendt et datalæk, der omfatter mindst 15.000 konti.
Roku oplyste myndighederne i USA om datalækket fredag den 11. marts. 15.363 konti er blevet hacket vha. et 'credential stuffing attack', hvor genbrugte brugernavne og kodeord fra tidligere datalæk er blevet brugt til at tilgå konti hos Roku.
En Roku-konto er nødvendig for at bruge bl.a. TV-skærme og mediebokse med indbygget Roku styresystem.
De hackede konti er imidlertid ikke kun blevet tilgået, men også solgt på det sorte marked, ifølge BleepingComputers kilder.
- "En forsker fortalte i sidste uge BleepingComputer, at bagmændene har brugt en Roku-config til at udføre credential stuffing-angreb i månedsvis og omgået foranstaltninger mod angreb såsom captcha ved at bruge specifikke URL-adresser og rotere gennem en liste af proxyservere," skriver BleepingComputer. "Hackede konti sælges dernæst på handelsplatforme for stjålne konti for helt ned til 50 cent.
Svag sikkerhed hos Roku
Selvom 'credential stuffing'-angreb er udbredte, så har Rokus svage sikkerhed angiveligt gjort det muligt at tilgå konti og bruge det tilknyttede kreditkort til køb af medieindhold og hardware såsom kameraer, fjernbetjeninger, soundbarer og streamingbokse fra Rokus butik.
Ifølge BleepingComputer har Roku ikke 2-faktor godkendelse på login og betaling.
Roku er ifølge flere opgørelser den mest udbredte TV-platforme i USA, foran Amazons FireTV, Samsungs Tizen og Google TV.
Flere angreb på vej?
Den svage sikkerhed i Smart TV generelt giver anledning til bekymring blandt andet fordi kreditkort og personoplysninger er tilknyttet. Nyere Smart TV kan desuden forbindes til smart home-enheder såsom kameraer.
Rokus nye vilkår, der blokerer brug af TV'et indtil brugeren accepterer ikke at sagsøge selskabet, er til dels relateret til disse 'credential stuffing'-angreb, ifølge BleepingComputers kilde.
Selskabet oplyser, at man har nulstillet kodeordet på de pågældende konti og i nogle tilfælde refunderet penge.
- Kilde: Roku disclosure, BleepingComputer
