Іспанський інженер випадково «захопив» сім тисяч роботів-пилососів DJI, знову виявлено вразливість у безпеці розумних побутових приладів

Розумні домашні пристрої приносять зручність у життя, але водночас можуть відкрити двері для кіберзлочинців. Нещодавно іспанський програміст випадково виявив, що може дистанційно керувати приблизно 7000 роботів-пилососів по всьому світу, а також переглядати відео в реальному часі та збирати великі обсяги даних з пристроїв. Оскільки ринок розумного дому прогнозується досягти 139 мільярдів доларів до 2032 року, швидкий розвиток галузі ставить питання про те, чи встигає система безпеки за інноваціями, що є ключовим аспектом.

Спроба модифікувати пилосос і несподіване виявлення вразливості

За повідомленням технологічного медіа «The Verge», ця подія сталася в результаті експерименту іспанського програміста Самі Аздуфаля. Спочатку він хотів зробити реверс-інженерінг свого нового пилососа DJI Romo, щоб керувати ним через контролер PlayStation 5.

Однак, після встановлення власного додатку для дистанційного керування та підключення до серверів DJI, сталося несподіване: не один, а близько 7000 роботів-пилососів по всьому світу почали реагувати так, ніби вони належать йому.

Аздулаль виявив, що може не лише переглядати зображення з камер пристроїв і слухати звук, але й зібрав понад 100 000 повідомлень з різних пристроїв. Ще більш вражаюче — він міг за IP-адресою приблизно визначити геолокацію пристрою.

Це означає, що володіння однаковими обліковими даними може дозволити масштабно отримати контроль над чужими пристроями.

Відповідь DJI: вразливість виправлена, Аздуфаль боїться позову

Варто зазначити, що Аздуфаль заявив, що не мав злих намірів і не намагався навмисно зламати чужі пристрої. Він самостійно повідомив про вразливість, сподіваючись, що проблему візьмуть до уваги та виправлять.

Компанія DJI підтвердила, що проблему вже вирішили, і опублікувала подяку Аздуфалю на платформі X.

DJI заявила: «Ваша відповідальна реакція дуже цінна для нас.»

Аздуфаль у відповідь на X жартома назвав себе «the vacuum guy» і пожартував, що багато людей пропонують йому безкоштовні пилососи.

Проте через широке висвітлення у медіа він побоюється, що DJI може знайти привід подати на нього в суд.

Фахівці з кібербезпеки попереджають: безпека розумних пристроїв часто ігнорується

Насправді, це не єдиний випадок. Професор комп’ютерних наук університету Сарі, Алан Вудвард, зазначає, що багато виробників розумних продуктів на початкових етапах розробки часто ставлять «інновації» та «захоплення ринку» вище за безпеку, яка стає додатковим аспектом.

Вудвард пояснює, що галузь часто керується ідеєю «швидко запустити, порушити норми», прагнучи випустити дешеві та багатофункціональні новинки, але ще на ранніх етапах розробки стає очевидним, що ігнорування безпеки призводить до вразливостей.

Він наголошує, що проблеми безпеки розумних пристроїв — це не лише помилки окремих компонентів, а цілісна проблема системного дизайну, яка включає:

• Як саме пристрій взаємодіє з хмарними серверами

• Як сервери з’єднуються з мобільними додатками

• Чи ефективно ізольовані механізми аутентифікації для різних користувачів

Якщо будь-який з цих етапів має недоліки, це створює ланцюгові ризики.

Розгул ринку розумних домівок і зростання ризиків

За даними аналітичної компанії MarketsandMarkets, глобальний ринок розумних домівок прогнозується досягти 139 мільярдів доларів до 2032 року. Від розумного освітлення, замків, камер спостереження, дитячих моніторів до систем опалення — різноманітні пристрої швидко проникають у домашнє життя.

Однак дослідження журналу «Journal of Information Security and Applications» показує, що хакери вже успішно контролювали:

• освітлювальні системи

• електронні замки

• системи відеоспостереження

• дитячі монітори

• системи опалення

Інцидент із пилососами — лише один із прикладів. Чим більше пристроїв під’єднано до мережі, тим ширше потенційне поле для атак.

Причина вразливостей: стандартні облікові дані та недостатня ізоляція прав

У випадку з цим інцидентом з пилососами Аздуфаль зміг отримати контроль над іншими пристроями через те, що його пристрій мав доступ до облікових даних інших роботів.

Вудвард рекомендує, щоб компанії обов’язково змушували користувачів встановлювати унікальні паролі при першому запуску продукту, а не використовували однакові або легко виведені з підказок стандартні облікові дані. Також, команда розробників має глибше розуміти, як система може бути зламаною, а не зосереджуватися лише на окремих модулях.

Він підкреслює, що безпека — це не лише частина програмування, а культура цілого продуктового дизайну.

Підвищена обережність споживачів

Крім відповідальності виробників, споживачі мають бути уважними до ризиків приватності, які несе розумна техніка.

Вудвард зауважує: «Якщо щось можливо зробити, це не означає, що потрібно робити.»

Розумні побутові прилади справді роблять життя зручнішим, але коли пристрої мають камери, мікрофони і здатність визначати місцезнаходження, зловживання цими функціями може мати далекосяжні наслідки.

Ця стаття «Іспанський інженер випадково «захопив» сім тисяч роботів DJI, знову піднімаючи питання безпеки розумних пристроїв» була вперше опублікована на сайті ABMedia.