Команда Cybernews обнаружила масштабную утечку данных пользователей портативных фотопринтеров Lifeprint. Устройства, выпускаемые компанией C+A Global, позволяют мгновенно распечатывать изображения со смартфонов на базе iOS и Android.

Причиной утечки стал неправильно сконфигурированный облачный бакет, который не требовал авторизации, поэтому получить доступ к данным мог любой пользователь интернета. Среди открытых файлов оказалось не только более двух миллионов изображений, но и экспортированные данные в форматах JSON и CSV, содержащие приватную информацию, включая списки пользователей и адреса электронной почты, более чем о 100 000 пользователях. В метаданных также сохранилась статистика – суммарно владельцы Lifeprint распечатали около 1,6 миллиона фото.

В той же публичной директории исследователи нашли несколько прошивок принтера и закрытый ключ RSA (один из двух элементов криптографического алгоритма Rivest-Shamir-Adleman, который используется для асимметричного шифрования), лежащий в открытом виде. Предполагается, что этот ключ использовался для подписи обновлений прошивки. Таким образом, потенциальный злоумышленник мог создать вредоносную прошивку, подписать её закрытым ключом и подменить оригинальные файлы на сервере. Если принтеры автоматически проверяют бакет на наличие новых прошивок, такой сценарий может позволить атакующим загрузить на устройства вредоносный код, захватить управление или даже включить их в ботнет.

Исследователи подчёркивают, что ситуация представляет реальную угроз безопасности пользователей, включая риски утечек личных и интимных фотографий, кражи личности, травли или даже доксинга. Также под вопросом надёжность самой IoT-инфраструктуры. Хранение криптографических ключей рядом с прошивкой, отсутствие изоляции пользовательских данных и полное отсутствие контроля доступа соответствует классическому антипаттерну.

Cybernews передали информацию производителю, однако ответа пока не последовало. Утечка была впервые зафиксирована 28 июля 2025 года, сообщение компании отправлено на следующий день, а уведомление в CERT – 6 августа.

📕 Тематические ссылки:
https://cybernews.com/security/lifeprint-printer-data-leak-photos/
https://www.securitylab.ru/news/564327.php