Det begynte som et uskyldig hobbyprosjekt. Programvareutvikleren Sammy Azdoufal ønsket bare å gjøre det litt morsommere å støvsuge hjemme ved å styre robotstøvsugeren med en PlayStation-kontroll.
I stedet oppdaget han et alvorlig sikkerhetshull som ga ham tilgang til rundt 7000 robotstøvsugere i 24 forskjellige land.
Hendelsen viser hvor mye informasjon smarte produkter kan samle inn fra hjemmet – og hva som kan skje dersom sikkerheten ikke er god nok.
Skulle bare styre sin egen støvsuger
Azdoufal hadde kjøpt en robotstøvsuger av modellen DJI Romo. Han ønsket å lage en egen løsning som lot ham kjøre støvsugeren rundt ved hjelp av en håndkontroll til PlayStation 5.
Mens han undersøkte hvordan støvsugeren kommuniserte med produsentens servere, oppdaget han at tilgangen ikke var begrenset til hans egen maskin.
Plutselig kunne han kommunisere med tusenvis av andre robotstøvsugere som var koblet til det samme systemet. Sikkerhetshullet ga mulighet til å fjernstyre maskinene og se informasjon om hvor de befant seg og hva de gjorde.
Kunne se inn i fremmede hjem
Det mest alvorlige var at de aktuelle robotstøvsugerne var utstyrt med både kamera og mikrofon.
Azdoufal kunne få tilgang til direktebilder fra kameraene, lytte til lyd og hente ut digitale plantegninger som støvsugerne hadde laget av hjemmene. IP-adressene kunne i tillegg brukes til å finne den omtrentlige plasseringen til boligen.
Han skal ikke ha misbrukt tilgangen, men dokumenterte problemet og varslet om sikkerhetshullet. Produsenten DJI har senere opplyst at oppdateringer ble sendt ut for å rette feilen.
Azdoufal mottok også 30.000 dollar i belønning fra selskapet for arbeidet med å avdekke en av sårbarhetene. Det tilsvarer flere hundre tusen norske kroner.
Hendelsen er en kraftig påminnelse om at en robotstøvsuger ikke bare er en støvsuger. Mange modeller er i praksis små datamaskiner som beveger seg gjennom boligen og samler inn informasjon om rommene.
Kilde: The Verge
