Hacker accidental, un utilizator a preluat fără intenție controlul asupra a aproape 7.000 de roboți de la distanță

Un simplu hack accidental i-a dat proprietarului unui DJI Romo nou-nouț acces la o armată globală de 7.000 de aspiratoare robotizate, iar vulnerabilitatea de securitate nu este complet remediată, potrivit The Verge.

Acest prim aspirator robotizat al DJI, DJI Romo, se extinde pe mai multe piețe după lansarea de anul trecut, dar se pare că are câteva vulnerabilități de securitate destul de mari.

Robotul aspirator DJI Romo avea un sistem de securitate atât de slab încât un utilizator a preluat fără intenție controlul asupra a aproape 7.000 de roboți

Conform raportului The Verge, proprietarul DJI Romo, Sammy Azdoufal, încerca să-și conecteze controlerul PS5 pentru a-și opera noul robot aspirator când a preluat din greșeală controlul asupra a mii de dispozitive. Aplicația de control la distanță a lui Azdoufal, realizată cu ajutorul instrumentului AI Claude Code, a trecut de unele măsuri de securitate slab implementate de pe serverele DJI.

Dar, în loc să-i permită accesul doar la propriul dispozitiv, i-a predat cheile a aproximativ 6.700 de aspiratoare robotizate situate în întreaga lume. Azdoufal a declarat că nu a piratat sistemele DJI, tot ce a făcut a fost să obțină tokenul privat al propriului aspirator Romo. „Nu am încălcat nicio regulă, nu am ocolit, nu am spart, nu am folosit forța brută, nimic de genul acesta”, a declarat el pentru The Verge. Din această cauză, a putut accesa servere live din întreaga lume, inclusiv din SUA, Europa și chiar China.

Azdoufal nu numai că putea controla oricare dintre aceste aspiratoare robotizate, dar putea accesa și imaginile video și audio transmise de acestea și putea vizualiza planurile 2D ale locuințelor în care se aflau. Adresele IP erau, de asemenea, accesibile, ceea ce înseamnă că se puteau calcula locațiile aproximative ale acestor proprietăți, alături de toate celelalte informații.

Se pare că tokenul de securitate pe care Azdoufal l-a folosit pentru a confirma proprietatea asupra propriului dispozitiv a fost suficient pentru ca serverele DJI să acorde acces și la alte mii de alte roboaspiratoare Romo de la DJI. Chiar și stațiile de alimentare portabile DJI Power apăreau pe hartă, raportând diagnostice și starea dispozitivelor.

Din fericire, el nu a folosit aceste informații pentru a exploata confidențialitatea altor persoane. El a contactat DJI în legătură cu această problemă, iar compania a rezolvat-o în cele din urmă prin câteva actualizări care nu au necesitat nicio acțiune din partea utilizatorului.

Mai există probleme nerezolvate

Este foarte îngrijorător faptul că acest lucru a fost posibil în primul rând, având în vedere că există atât de puține măsuri de securitate împotriva hacking-ului.

Cu toate acestea, hackerul accidental spune că mai există câteva probleme nerezolvate care trebuie abordate. Acestea includ capacitatea de a transmite în flux video de la un DJI Romo fără un cod PIN de securitate și o altă problemă nedivulgată din cauza gravității sale. Mai important, Azdoufal a subliniat că esența problemei nu rezidă în criptarea utilizată de robotul aspirator atunci când comunică cu serverul său, ci în faptul că toate datele sunt stocate în text simplu și pot fi citite cu ușurință de oricine are acces la server.

Noile produse DJI sunt de fapt interzise în SUA în acest moment, din cauza preocupărilor legate de protocoalele de securitate și legăturile companiei cu guvernul chinez, iar suspiciunile legate de spionaj și colectarea clandestină de date nu vor fi atenuate de acest ultim dezastru în materie de securitate.

Există de fapt o altă problemă de securitate cu DJI Romo, pe care The Verge a considerat-o prea gravă pentru a o raporta în mod deschis. DJI afirmă că această a doua problemă va fi remediată în câteva săptămâni, dar este puțin probabil să inspire încredere celor care doresc să achiziționeze noul model de robovac în acest moment.

Este încă o dovadă că dispozitivele inteligente pentru casă sunt printre cele mai slabe în ceea ce privește securitatea. Producătorii insistă să blocheze și să ascundă funcționalități în cloud pentru a colecta insidios date despre utilizatorii săi și a păstra posibilități de a extrage venituri de la clienții lor prin închiderea acestor funcționalități în spatele unui abonament.

Dispozitivele inteligente pentru casă nesecurizate sunt vulnerabile

Nu este prima dată când se descoperă că un robot aspirator gestionează incorect datele pe care le colectează. Anul trecut, un inginer a descoperit că robotul său aspirator inteligent iLife A11 trimitea în mod constant jurnale și date telemetrice către producător. Când a blocat raportarea tuturor acestor informații prin rețeaua sa, producătorul a trimis un cod de dezactivare pentru a dezactiva dispozitivul, practic blocându-l de la distanță. Cu puțină ingeniozitate și îndemânare, el a reușit să-și „reînvie” și să-și folosească dispozitivul complet local, dovedind că un robot aspirator nu trebuie să fie conectat la cloud 24/7 pentru a funcționa așa cum trebuie.

În 2024, hackerii au preluat controlul asupra robotului aspirator Ecovacs pentru a urmări animale de companie și a striga insulte rasiste. În 2025, agențiile guvernamentale sud-coreene au raportat că modelul X50 Ultra de la Dreame avea o vulnerabilitate care le permitea hackerilor să vizualizeze în timp real imaginile transmise de camera sa, iar un alt robot aspirator Ecovacs și unul Narwal le permiteau hackerilor să vizualizeze și să fure fotografii de pe dispozitive.

Desigur, nu este vorba doar de aspiratoare. Producătorul de camere de supraveghere Wyze a încercat să ascundă o vulnerabilitate de acces la distanță în loc să-și avertizeze clienții. La fel Anker a mințit și ea în legătură cu securitatea produsului Eufy.

Securitatea dezastruoasă amplifică temerile anterioare

Azdoufal spune că, chiar și acum, DJI nu a remediat toate vulnerabilitățile pe care le-a găsit. Una dintre ele este posibilitatea de a vizualiza propriul flux video DJI Romo fără a avea nevoie de codul PIN de securitate.

Atât Azdoufal, cât și cercetătorul în domeniul securității Kevin Finisterre au spus că nu este suficient ca Romo să trimită date criptate către un server din SUA, dacă oricine din interiorul acelui server le poate citi cu ușurință ulterior. „Un server cu sediul în SUA nu împiedică în niciun fel accesul angajaților DJI din China”.

Acest incident ridică întrebări serioase cu privire la practicile DJI în materie de securitate și colectarea de date. Fără îndoială, acesta va fi folosit pentru a justifica retroactiv temerile care au dus la eliminarea în mare parte a producătorului chinez de drone din SUA. Dacă Azdoufal a putut găsi aceste roboți fără măcar să îi caute, îi va proteja oare împotriva persoanelor cu intenții răuvoitoare? Dacă Claude Code poate crea o aplicație care vă permite să vedeți în casa cuiva, ce îl împiedică pe un angajat DJI să facă același lucru? Și ar trebui ca un aspirator robot să aibă un microfon? „Este atât de ciudat să ai un microfon pe un aspirator”, spune Azdoufal.

Sursa: The Verge