Мъж случайно хакна хиляди прахосмукачки DJI Romo, докато се опитваше да направи дистанционно управление за своята

Когато собственик на прахосмукачката-робот DJI Romo се опитал да си направи персонализирано дистанционно управление за нея от контролер от PS5 и да напише софтуер за него, той открива слабата сигурност на устройствата на компанията. Създаденото от самия него приложение се свързало със сървърите на DJI и поело контрола над 6700 прахосмукачки по целия свят, съобщава The Verge.

Сами Аздуфал е можел не само да управлява дистанционно прахосмукачките, но и да гледа и слуша предавания на живо от техните камери. Налични са били карти на апартаменти и къщи и той е можел да определи приблизителното местоположение на устройствата по IP адрес. Прахосмукачките споделяха серийния си номер, кои стаи са почиствали, какво са видели, какво разстояние са изминали, когато са се върнали към зарядното устройство и всички препятствия, които са срещнали по пътя си.

„Гледах как всеки от тези роботи бавно се появява на картата на света. Девет минути след като започнал, лаптопът на Азуфал вече беше локализирал 6700 устройства прахосмукачки от 24 различни държави и беше събрал повече от 100 000 съобщения от тях. Ако прибавим и зарядните устройства DJI Power, които също изпращат информация до същите сървъри, Азуфал имаше достъп до повече от 10 000 устройства.“

пише главният редактор на The Verge Шон Холистър, на когото „хакерът“ е показал системата

Аздуфал оглавява отдела за изкуствен интелект в компания за отдаване на жилища под наем и е направил обратен анализ на протоколите на DJI, използвайки чатбота Claude. Журналистът на The Verge помолил колегата си Томас Рикер, който току-що бил завършил ревю на DJI Romo да му предаде серийния номер на прахосмукачката. С помощта на този 14-цифрен номер Азуфал успял да спре устройството, да разбере, че то почиства хола и че му е останала 80% от заряда на батерията. Прахосмукачката създала и предала точен план на къщата с правилната форма и размер на всяка стая.

„Не съм нарушавал никакви правила, не съм ги заобикалял, не съм ги хаквал чрез някакъв метод или нещо друго.“

твърди Аздуфал

Той получи свой личен DJI Romo токен – ключ, който съобщава на сървърите на DJI, че потребителят има право на достъп до собствените си данни. Сървърите на компанията му предоставили и данни на хиляди други хора. Той демонстрира достъп до предпроизводствения сървър на DJI, както и до работните сървъри от САЩ, Китай и ЕС.

По-късно ентусиастът и журналистите информират DJI за уязвимостта. Те тествали поправката на същата прахосмукачка с дистанционно управление, която вече не можела да бъде управлявана. Така че, дори и със софтуера на Сами Аздуфал, вече няма да можете да командвате армия от роботи-прахосмукачки.