Néhány nap leforgása alatt több amerikai városban is robotporszívókat törtek fel, amelyeket a támadók fizikailag is képesek voltak irányítani, sőt beépített hangszóróikon keresztül trágárságokat kiabáltak a tulajdonosoknak. Az érintett robotok azok a kínai gyármányú Ecovacs Deebot X2 modellek voltak, amelyekkel kapcsolatban 2023 végén egy fehér kalapos hekker már kimutatta, hogy nagyon könnyű feltörni azokat, mivel a kapcsolódó alkalmazásban tárolják a felhasználók PIN-kódját.

Így a megfelelő technikai tudás birtokában lényegében bárki hozzáférhet a kódokhoz és távolról vezérelheti a robotporszívókat még a gyári visszaállításukat követően is. A mostani esteről beszámoló ausztrál ABC News egy másik szakember segítségével demonstrálta is, hogy miként lehet kihasználni az Ecovacs gépek sebezhetőségét, mondjuk élőben nézelődni a gépek irányítható kameráján keresztül. A gyártót állítólag több forrás is tájékoztatta már a problémáról.

Az ABC News szerint így is meglepetést okozott náluk, amikor egy amerikai ügyvéd kapcsolatba lépett velük a megkergült robotporszívója miatt, a vállalat ugyanis azt állította, hogy korábban már javította a hibákat. A csatorna által felkért szakértő azonban megerősítette, hogy bőven lenne még mit befoltozniuk: a támadók továbbra is hozzáférhetnek a kamerával felszerelt robotok felvételeihez, és – ahogy legutóbb kiderült – akár szólhatnak is rajtuk keresztül a felhasználókhoz.

A gyártónál nem izgatták fel magukat

Az egyik idézett esetben rasszista káromkodásról volt szó, de könnyű belátni, hogy a kamera és a távirányító beállításaihoz való hozzáféréssel ennél súlyosabb károkat is lehet okozni – amelyeke a dolgok jelenlegi állása szerint csak úgy lehet elkerülni, ha valaki be sem kapcsolja a takarítógépet. A cikkből ugyanakkor kiderül, hogy az Ecovacs részéről sem volt zökkenőmentes a panaszkezelés, amennyiben látszólag nem is tudtak a korábban már jelzett és kijavított problémákról.

Egyik válaszukban például elvetették a hekkelés lehetőségét, és "credential stuffing" támadásokat valószínűsítettek, amelyek lényege, hogy a hekkerek gyengébben védett felületekről szereznek belépési adatokat, és azokkal kísérleteznek más helyeken, ahová esetleg sikerül belépniük ugyanazokkal a jelszavakkal. Mint kiderült, ilyesmiről szó sem lehetett, sőt az ABC News-nak nyilatkozó felhasználó arról is beszámolt, hogy lényegében letagadták előtte a korábbi, hozzá hasonló eseteket.

a kép forrása: abc.net.au