Door middel van een aangepast smart lock is het mogelijk om vingerafdrukken te stelen om zo toegang tot beter beveiligde systemen en accounts te krijgen. Ook het oprapen van een op het eerste gezicht onschuldig lijkend apparaatje maakt diefstal van biometrische data mogelijk, zo blijkt uit onderzoek.uitgevoerd door  Steve Kerrison van de James Cook University uit Singapore (pdf).

In het verleden is er geregeld aandacht geweest voor het omzeilen van de vingerafdruksensor van bijvoorbeeld smartphones. Minder aandacht heeft het gebruik van dergelijke sensoren gekregen voor het stelen van vingerafdrukken. Steeds vaker beschikken goedkope IoT-apparaten, zoals smart locks, over vingerafdruksensoren.

Deze apparaten hebben minder krachtige processors, goedkopere sensoren en bieden niet dezelfde beveiliging als een smartphone. Een aanvaller zou via het minder beveiligde IoT-apparaat een vingerafdrukafbeelding kunnen stelen om daarmee toegang tot een ander apparaat of account te krijgen. Kerrison noemt dit de "droplock" aanval.

...Het lukte de onderzoeker om door middel van een debug-interface de firmware van een niet nader genoemd smart lock te overschrijven. Zo is het mogelijk om vingerafdrukken te scannen en via bluetooth naar een apparaat of aanvaller in de buurt te sturen. 

Om dergelijke aanvallen te voorkomen adviseert de onderzoeker het uitschakelen van debug-interfaces en alleen toestaan van gesigneerde firmware-updates. 

Alles bij de bron; Security