Egy szoftvermérnök véletlenül komoly okosotthon-biztonsági hibát fedezett fel, miközben PlayStation 5-kontrollerrel próbálta irányítani a robotporszívóját. A történet főszereplője, Sammy Azdoufal az új DJI Romoval kísérletezett otthon, és egy saját alkalmazást fejlesztett a készülék irányításához, arra törekedve, hogy PS5-kontrollerrel vezérelhesse az eszközt.

A tesztelés során azonban váratlan dolog történt: észrevette, hogy ugyanazok a hitelesítési adatok, amelyekkel a saját készülékét irányítja, nemcsak egyetlen eszközhöz adnak hozzáférést. A rendszer több ezer másik robotporszívó adatait is elérhetővé tette számára.

A beszámolók szerint nem csupán a saját nappalijában, egyetlen eszköz mozgatására vált képessé: hirtelen közel 7000 (!) robotporszívóra látott rá, 24 különböző országban, és a hozzáférése nem korlátozódott az egyszerű vezérlésre. A háttérrendszer hibája miatt élő kameraképeket nézhetett, mikrofonokon keresztül hallgathatta minden egyes robotporszívó környezetét, valamint részletes lakásalaprajzokat és eszközadatokat tölthetett le a készülékekről.

Ezek az információk megmutatták, milyenek az érintett otthonok, és pontosan mi történik bennük.

A problémát egy szerveroldali jogosultsági hiba okozta. Amikor egyetlen eszközhöz tartozó azonosítóval bejelentkezett, a rendszer nem korlátozta a hozzáférést egy készülékre, hanem több másik egység adatait is visszaadta. A beszámolók szerint Azdoufal pusztán egy sorozatszám segítségével megmutatta, hogy meg tudja találni egy újságíró tesztkészülékét, látja annak akkumulátorszintjét, és távolról létre tud hozni egy lakásalaprajzot – írja a Dexerto.

PS5-kontrollerrel vezérelt porszívóból globális kibervészhelyzet

A hozzáférés mértéke ellenére Azdoufal azt mondja, nem törte fel a vállalat rendszereit, és nem kerülte meg a biztonsági védelmet. Saját eszközével kísérletezett, és egy mesterséges intelligencián alapuló kódolási asszisztens segítségével fejtette vissza, hogyan kommunikál a porszívó a felhőszerverekkel.

Miután megerősítette a sérülékenységet, megosztotta az eredményeket újságírókkal, akik értesítették a DJI-t.

A vállalat később jelezte, hogy frissítésekkel orvosolta a problémát, de az eset széles körű aggodalmakat vet fel az okosotthonok adatvédelmi kockázataival kapcsolatban, miközben arra is rámutat, hogy nem kizárólag a robotporszívók jelentenek kockázatot. Gyakorlatilag bármilyen eszközt feltörhetnek. Elég emlékezetes az a 2023-as példa is, amikor egy édesanyja azért volt kénytelen a rendőrséghez fordulni, mert egy vadidegen feltörte a bébiőrzőt és elkezdett beszélni a gyerekéhez.

Óriási lopás: 4,4 milliárd forint értékű kreditet adtak a hackerek minden Rainbow Six Siege játékosnak