Telefone de escritório comum pode estar vazando informações para o governo chinês, alega relatório

Trabalhadores em um call center em Norwich, Norfolk, Reino Unido Getty Images

Permaneça conectado

Patrick Tucker

Um grande fabricante chinês de telefones pode estar colocando em risco consumidores, empresas e até mesmo dados de segurança nacional dos EUA, e um senador dos EUA quer saber o que o Departamento de Comércio fará a respeito.

Em uma carta de 28 de setembro obtida pela Defense One, o senador Chris Van Hollen, D-Md., descreveu um relatório que "levanta sérias preocupações sobre a segurança de equipamentos audiovisuais produzidos e vendidos nos EUA por empresas chinesas como a Yealink ."

A Yealink não tem o reconhecimento de nome da controversa gigante chinesa de telecomunicações Huawei, mas seus telefones são amplamente instalados nos Estados Unidos, inclusive em agências governamentais. Em setembro, a Yealink e a Verizon anunciaram planos para vender "o primeiro telefone celular 4G/LTE do país".

Na carta, Van Hollen perguntou à secretária de Comércio Gina Raimondo se sua agência está ciente do relatório da Chain Security, uma empresa sediada na Virgínia que analisa eletrônicos para segurança. Ele perguntou se ela considera sua análise confiável e, em caso afirmativo, o que ela deseja que o Commerce faça a respeito.

Muitas das questões de segurança levantadas no relatório são semelhantes às que o governo dos EUA tem há anos sobre a Huawei. Em essência, há uma série de falhas de segurança grandes, mas possivelmente não intencionais, que um adversário pode usar para roubar dados. Mas com o telefone Yealink T54W em particular, também existem alguns recursos preocupantes que são claramente construídos de propósito.

O relatório apontou para o software Yealink que conecta cada telefone à rede local. Chamada de plataforma de gerenciamento de dispositivos, ou DMP, ela permite que os usuários façam chamadas de seus PCs e que os administradores de rede gerenciem os telefones. Mas também permite que o Yealink grave secretamente essas chamadas telefônicas e até rastreie quais sites os usuários estão visitando.

"Observamos que se o telefone está sendo gerenciado pela plataforma de gerenciamento de dispositivos, e se o PC do usuário está conectado ao telefone para acessar uma rede local, ele está coletando informações sobre o que você está navegando" em seu computador , disse Jeff Stern, CEO da Chain Security. "O método de usar o telefone IP de mesa, como o telefone Yealink, como um switch Ethernet para conectar o PC à rede local é uma prática comercial comum. O administrador nessa plataforma também pode iniciar uma gravação de chamada sem o conhecimento do usuário... O que eles fazem é emitir um comando para o telefone para gravar as chamadas."

Stern disse que "esse recurso é destinado ao uso de um funcionário ou representante de um cliente corporativo. No entanto, todo sistema possui um administrador superusuário, ou SYSADMIN. Nesses tipos de sistemas, o SYSADMIN geralmente tem acesso a tudo. Alguns sistemas modernos, especialmente depois Snowden, negue esta capacidade ao SYSADMIN. Mas precisamos assumir que este não é o caso aqui e que o Yealink DMP SYSADMIN está na China."

O relatório da Chain Security observa que o contrato de serviço da Yealink exige que os usuários aceitem as leis da China, enquanto "um conjunto relacionado de termos de serviço permite o monitoramento ativo dos usuários quando exigido pelo 'interesse nacional' (isso significa o interesse nacional da China)".

Stern também observou que o telefone também não usa certificados digitais para evitar alterações não autorizadas em seu software. Isso torna muito mais fácil para os invasores comprometer os dados no telefone e, potencialmente, até mesmo toda a rede à qual está conectado, sem atribuição ao Yealink. "Sem algum tipo de monitor observando o que está acontecendo no telefone, você não saberia que este firmware está lá e pode fazer o que quiser em termos de vigilância de sua rede e sub-rede. O cenário com o qual nos preocupamos com um dispositivo como este é que ele irá monitorar sua rede e então exfiltrar…essencialmente sua arquitetura de rede ou sua implementação de rede."