Умный дом объединяет десятки устройств — от лампочек и розеток до камер и замков. Удобство достигается за счёт постоянной связи и удалённого управления, но именно эти особенности создают уязвимости. Ниже — самые распространённые слабые места, которые чаще всего используют злоумышленники.

Слабая аутентификация и заводские настройки
Одна из самых частых проблем — неизменённые заводские пароли (вроде admin/admin, 1234). Многие пользователи не задумываются о необходимости их менять, а производители нередко делают эту процедуру неудобной или неочевидной. К уязвимостям также относится:

использование простых или повторяющихся паролей для разных устройств;
отсутствие двухфакторной аутентификации в приложениях управления;
хранение токенов доступа в недостаточно защищённом виде на смартфоне.
Устаревшее программное обеспечение
IoT‑устройства часто работают на прошивках, которые годами не обновляются. Это опасно, потому что в старых версиях могут быть уже известные и описанные в открытых базах уязвимости. Нередко проблема ещё глубже: в устройстве используются старые библиотеки и компоненты с подтверждёнными брешами, а производитель либо не выпускает патчи, либо делает это редко.

Незащищённая передача данных
Если данные между устройством, хабом и облаком передаются без шифрования или с использованием слабых протоколов, их можно перехватить в локальной сети. Например, видеопоток с камеры может идти по протоколу RTSP без должной защиты, а служебные команды — передаваться в открытом виде. В результате злоумышленник, подключившийся к той же Wi‑Fi‑сети, способен видеть трафик и даже подменять команды.

Ошибки в сетевой архитектуре и настройках роутера
Типичные ошибки, которые делают умный дом уязвимым:

Отсутствие сегментации сети. Когда все устройства (включая старые и потенциально уязвимые) находятся в одной сети с компьютерами и телефонами, компрометация одного гаджета открывает доступ к остальной инфраструктуре.
Включённый UPnPUPnP (Universal Plug and Play) — это набор сетевых протоколо More. Эта функция автоматически открывает порты наружу, делая устройства доступными для сканирования и атак из интернета.
Слабые настройки Wi‑Fi. Использование устаревших стандартов шифрования (например, WEP или WPA) и простых паролей к Wi‑Fi.
Проблемы с облачными сервисами и API
Многие системы умного дома управляются через облако: команды идут от приложения к серверу, а оттуда — к устройствам. Если учётные данные украдены (например, через фишинг), злоумышленник получает контроль над всей экосистемой. Кроме того, уязвимости могут быть в API производителя: при слабой проверке прав доступа или отсутствии фильтрации входных данных злоумышленник может отправлять команды напрямую, минуя интерфейс приложения.

Ограниченные вычислительные ресурсы устройств
Бюджетные IoT‑устройства имеют мало памяти и слабую вычислительную мощность. Из‑за этого производители вынуждены упрощать защиту: использовать более лёгкие, но менее надёжные протоколы шифрования, отключать мониторинг подозрительной активности или вообще не реализовывать сложные механизмы безопасности.

Уязвимости мобильных приложений
Приложения для управления умным домом тоже могут содержать ошибки:

хранение чувствительных данных (токенов, хешей) в открытом или слабо защищённом виде;
небезопасное взаимодействие с сервером (непроверенные сертификаты, отсутствие валидации ответов);
недостаточная защита от перехвата или анализа трафика.
Физический доступ и социальная инженерия
Иногда взлом начинается не с кода, а с обмана или физического доступа:

злоумышленник может представиться сотрудником техподдержки и выманить учётные данные или попросить выполнить опасные действия;
при физическом доступе возможна подмена устройства, подключение «клона» датчика, извлечение данных из памяти устройства.
Человеческий фактор и раскрытие информации
Сюда относятся не только простые пароли, но и косвенные риски: публикация в соцсетях информации о системе умного дома (где стоят камеры, какой пароль от Wi‑Fi, график отсутствия дома), доверие непроверенным мастерам, установка сторонних прошивок без понимания рисков.