Компания выявила свою ошибку — заработала 30 000

Программист всего лишь хотел управлять недавно купленным роботом-пылесосом с помощью игрового пульта. Однако этот простой эксперимент случайно позволил ему получить доступ к роботам в тысячах домов по всему миру. Сэмми Аздуфал, разрабатывая собственное приложение для дистанционного управления роботом, исследовал, как устройство взаимодействует с облачными серверами. В ходе исследования он обнаружил серьёзную уязвимость: одни и те же учетные данные, позволяющие управлять роботом, предоставляли доступ не только к его устройству, но и к тысячам роботов-пылесосов в разных странах.

Благодаря этой уязвимости Аздуфал мог видеть и управлять примерно 7 тысячами роботов-пылесосов в 24 странах, получать прямую трансляцию с их камер, активировать микрофоны, просматривать 2D-планы и карты домов, а также определять приблизительное местоположение устройств. Иными словами, эти устройства могли превратиться в массовый инструмент слежки в руках злоумышленников. Робот-пылесос DJI «Romo», оказавшийся в центре инцидента, использует камеры, датчики и технологии картирования для передвижения по дому и время от времени отправляет данные на облачные серверы. Ошибка безопасности на сервере приводила к тому, что пользователь выглядел владельцем не только своего устройства, но и других роботов.

Аздуфал не воспользовался своей находкой и сразу сообщил о ней компании и СМИ. Позже компания заявила, что проблема устранена, а сам Аздуфал получил около 30 000 долларов в рамках программы bug bounty. Эта сумма отражает значимость уязвимости для компании, хотя и не достигает миллионов.

Инцидент привлекает внимание к безопасности умных домашних устройств. Специалисты по кибербезопасности давно предупреждают, что подключённые к интернету роботы и IoT-технологии являются потенциальной целью хакеров, а инструменты искусственного интеллекта упрощают поиск уязвимостей в программном обеспечении. Открытие программиста, который просто хотел управлять своим роботом, демонстрирует, насколько важно уделять внимание безопасности в сфере умных технологий, ведь тысячи роботов-пылесосов в домах теоретически могли превратиться в устройства массового наблюдения.