Crosswalks do Vale do Silício Hackeados com Vozes de CEOs em Deepfake: Um Alerta para a Segurança de IoT
Uma série de hacks audaciosos visando botões de pedestres no Vale do Silício e em outros locais expôs vulnerabilidades críticas em nossa infraestrutura. Usando senhas padrão, atacantes carregaram áudios falsificados de CEOs de tecnologia, destacando a necessidade urgente de medidas de segurança robustas em implementações de IoT.
Em um incidente bizarro em abril passado, um atacante desconhecido visou aproximadamente 20 cruzamentos de rua em todo o Vale do Silício, lançando um ciberataque que mais tarde se espalhou para vários estados. O culpado explorou senhas padrão fracas e publicamente disponíveis para carregar remotamente gravações personalizadas que tocavam quando os pedestres pressionavam os botões de travessia.
Em vez de mensagens de segurança padrão, os pedestres foram recebidos por vozes falsificadas de CEOs bilionários de tecnologia. Um falso **Mark Zuckerberg** declarou em um cruzamento de Menlo Park que a IA seria "inserida à força" em "todas as facetas de sua experiência consciente". Em outra instância, ele celebrou "minar a democracia". Um **Elon Musk** alterado, em um cruzamento diferente, descreveu o Presidente **Donald Trump** como "realmente muito doce, terno e amoroso", enquanto em outro lugar, sua voz falsificada lamentava estar "tão sozinho".
## O Rescaldo e a Culpa
E-mails e mensagens de texto do governo obtidos pela **WIRED** revelaram a correria de cidades como Menlo Park, Redwood City, Palo Alto, Seattle e Denver para responder à adulteração dos botões de travessia. Essas comunicações, juntamente com entrevistas com especialistas em segurança e ex-funcionários do fabricante dos botões, ressaltaram vulnerabilidades negligenciadas em tecnologias difundidas.
Em Redwood City, a então gerente da cidade, **Melissa Diaz**, questionou quem deveria ser responsabilizado pelas violações de segurança. **Nick Mathiowdis**, atual gerente de comunicações de Redwood City, afirmou que o problema está sendo abordado com base em "lições aprendidas e melhores práticas em evolução", mas se recusou a fornecer detalhes específicos para evitar incentivar ataques futuros.
**Edward Fok**, um ex-oficial de cibersegurança da **Federal Highway Administration**, enfatizou a necessidade de as cidades incorporarem cláusulas de cibersegurança em contratos com fornecedores e instaladores, especialmente com a crescente integração de ferramentas de IA e sensores na infraestrutura de transporte.
O contrato de Redwood City com seu fornecedor de instalação e manutenção de botões exigia apenas "diligência razoável e melhor julgamento", faltando estipulações específicas sobre senhas ou segurança digital.
A administração rodoviária, em uma declaração não assinada, afirmou ter emitido anteriormente um aviso técnico descrevendo "medidas de segurança para garantir que idiotas ideológicos não estejam colocando em risco a segurança dos americanos ao utilizar nossas travessias".
A investigação policial sobre os hacks do Vale do Silício estagnou, pois os botões não rastreiam uploads de áudio e as filmagens de vigilância se mostraram inúteis, de acordo com o tenente da polícia de Redwood City, **Jeff Clements**.
## A Vulnerabilidade: Senhas Padrão
**Polara Enterprises**, um dos principais fornecedores de botões de travessia, utiliza modelos habilitados para Bluetooth que permitem às cidades carregar clipes de áudio personalizados. Manuais e vídeos oficiais online demonstram que esses modelos **Polara** vêm com uma senha padrão de "1234" e são configuráveis através de um aplicativo publicamente disponível.
Meses antes dos hacks, o vlogger de segurança física **Deviant Ollam** destacou a facilidade de adulteração desses botões em um vídeo do **YouTube**.
<html>
<iframe width="560" height="315" src="https://www.youtube.com/embed/mvvVSTlbqEI" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen></iframe>
</html>
**Ollam** observou que, embora ele não estivesse incentivando atividades ilegais, a vulnerabilidade era evidente. Ele considerou o hack uma "pegadinha ideal" que aumentou a conscientização sobre um importante problema social.
## Resposta do Fabricante
**Josh LittleSun**, CTO da **Synapse ITS** (que agora possui a **Polara**), atribuiu os hacks não às senhas padrão, mas aos instaladores que usavam senhas simples e amplamente compartilhadas que raramente eram alteradas.
Ex-funcionários da **Synapse** afirmaram que a empresa priorizou a confiabilidade em detrimento da segurança devido à concorrência e recursos limitados. No entanto, **LittleSun** contestou isso, afirmando que a **Synapse** aumentou o investimento em engenharia nos produtos **Polara** e está focando em segurança. Desde o hack, senhas mais fortes e etapas de verificação adicionais foram implementadas.
"A segurança desses ativos comunitários críticos é essencial", enfatizou **LittleSun**.
## Seattle Alvo
Logo após os incidentes do Vale do Silício, Seattle se tornou um alvo, com uma gravação falsificando o fundador da **Amazon**, **Jeff Bezos**, pedindo contra a taxação dos ricos.
**Abel Pacheco**, diretor da divisão de operações de trânsito de Seattle, afirmou que a cidade respondeu atribuindo senhas exclusivas a cada botão e estabelecendo uma lista com