Уязвимости безопасности Tile позволяют компании и сталкерам отслеживать ваше местоположение

Ben Lovejoy | Понедельник, 29 сентября, 2025, 04:10.

Avatar for Ben Lovejoy
 | 29 сентября 2025 г. — 4:10 PT
Tile security flaws can let both company and stalkers track your location | Tile tags shown

Исследователи обнаружили серьезные уязвимости в безопасности Tile, которые могут позволить как самой компании, так и технически подкованному сталкеру отслеживать ваше местоположение. Эти уязвимости возникают из-за двух существенных различий между безопасностью, используемой для AirTags и меток Tile.

Уязвимость может быть даже использована для того, чтобы злоумышленник мог ложно обвинить владельца метки Tile в преследовании, заставляя его метку постоянно находиться в непосредственной близости от метки другого человека…

Два ключевых отличия между AirTags и метками Tile

Как AirTags, так и метки Tile работают по сути одинаково, используя Bluetooth для трансляции своего идентификатора на ближайшие смартфоны. Оба устройства также меняют код идентификатора каждые 15 минут, чтобы его нельзя было постоянно привязать к конкретной метке.

В случае с AirTags метка передает только меняющийся код идентификатора, и все трансляции шифруются.

Однако исследователи безопасности обнаружили, что метки Tile передают не только меняющийся идентификатор, но и свой статический MAC-адрес – причем ни то, ни другое не шифруется. Это представляет собой огромную уязвимость в безопасности.

Уязвимости безопасности Tile

Wired сообщает, что Акшая Кумар, Анна Реймейкер и Майкл Спектер из Технологического института Джорджии обнаружили, что MAC-адрес передается вместе с идентификатором. В отличие от идентификатора, MAC-адреса Tile никогда не меняются.

Местоположение метки, ее MAC-адрес и уникальный идентификатор также отправляются без шифрования на серверы Tile, где, по мнению исследователей, эта информация хранится в открытом тексте, что дает Tile возможность отслеживать местоположение меток и их владельцев, даже несмотря на то, что компания утверждает, что не имеет такой возможности.

Кроме того, любой, у кого есть сканер радиочастот, может перехватить всю эту информацию во время ее передачи.

Хуже того, проблема не будет решена, даже если Tile прекратит передавать MAC-адрес. Это связано с тем, что способ генерации меняющегося идентификатора компанией небезопасен, и будущие коды можно надежно предсказать на основе предыдущих – даже по одному идентификатору.

«Атакующему достаточно записать одно сообщение от устройства… чтобы идентифицировать его на всю оставшуюся жизнь», — говорит Кумар, отмечая, что это создает риск системной слежки для любого, чья метка попала в зону сканирования.

Tile имеет защиту, аналогичную AirTags, в плане возможности узнать, не преследуют ли вас чужие метки, спрятанные в ваших вещах или автомобиле. Однако в реализации Tile существует серьезная уязвимость.

Когда владелец метки включает режим защиты от кражи, чтобы сделать свою метку невидимой для потенциальных воров, эти метки также не будут видны тому, кто запускает сканирование, чтобы определить, не преследуют ли его с помощью вредоносной метки. Это означает, что сталкер может скрыть свою метку преследования, переведя ее в режим защиты от кражи.

Наконец, злоумышленник может даже обвинить вас в преследовании.

Используя антенну радиочастотного диапазона для сбора незашифрованных трансляций с метки другого пользователя, злоумышленник может извлечь MAC-адрес и уникальный идентификатор из этих трансляций и передать их в другом месте. Если пользователь проведет сканирование на предмет преследования в этом месте, он увидит этот MAC-адрес и уникальный идентификатор в скане, и эта информация, а также место, где она была просканирована, будут отправлены на сервер Tile, создавая впечатление, что эта метка находилась рядом с человеком, который проводил сканирование. Исследователи говорят, что нет никакого способа определить, был ли MAC-адрес и уникальный идентификатор выпущен законным устройством Tile или кем-то, кто злонамеренно воспроизводит эту информацию.

Исследователи безопасности следовали лучшим практикам, сообщив о своих выводах материнской компании Tile, Life360, в ноябре прошлого года. Однако компания прекратила общение в феврале этого года.

Компания сообщила Wired, что внесла ряд улучшений в свою систему безопасности, но не уточнила, были ли они направлены на решение выявленных проблем.

Рекомендуемые аксессуары

Изображение: Фото Life360 на фоне от Ajeng Coleendyah на Unsplash