Kupili popularny odkurzacz. Potem okazało się, że mógł zbierać wrażliwe dane
Sammy Azdoufal, strateg AI i hobbystyczny programista, chciał po prostu sterować swoim nowym robotem sprzątającym za pomocą pada od PS5. Zamiast tego odkrył lukę, która pozwoliła mu uzyskać dostęp do około 7000 urządzeń na całym świecie.
- Sammy nie włamał się do serwerów DJI – użył jedynie własnego tokena autoryzacyjnego
- Dotyczyło to urządzeń w 24 krajach
- Uzyskał dostęp do kamera na żywo, mikrofonów, map pięter i sterowania zdalnego
Zabawa z padem PS5 skończyła się globalną wpadką
Sammy Azdoufal kupił DJI Romo – pierwszy robot sprzątający chińskiego producenta znanego głównie z dronów. Pomysł był prosty: sterować odkurzaczem za pomocą kontrolera od konsoli PlayStation 5, bo „to brzmi fajnie”.
Po wyodrębnieniu własnego tokena autoryzacyjnego (klucza potwierdzającego „to moje urządzenie”) jego aplikacja połączyła się z serwerami producenta.
Zamiast odpowiedzi tylko od jednego odkurzacza – zaczęły odpowiadać tysiące. W ciągu 9 minut jego skrypt zebrał ponad 100 000 wiadomości z urządzeń rozsianych po 24 krajach.
Co dokładnie zobaczył Sammy?
Dostęp był przerażająco szeroki i nie wymagał żadnego łamania zabezpieczeń serwera:
- zdalne sterowanie ruchem odkurzacza,
- podgląd na żywo z kamery,
- odsłuch przez wbudowany mikrofon,
- generowanie dokładnych map pięter mieszkania,
- informacje o stanie baterii, statusie sprzątania i przybliżonej lokalizacji.
Sammy twierdzi, że przetestował podgląd z pomocą znajomego i natychmiast przestał eksperymentować. Podkreśla, że nie złamał żadnego prawa, nie używał brute-force ani nie przełamywał zabezpieczeń – serwery DJI same oddały mu cudze dane po użyciu poprawnego tokena własnego urządzenia.
DJI zareagowało błyskawicznie, ale luka była bardzo poważna
Po kontakcie dziennikarzy z The Verge firma DJI potwierdziła otrzymanie zgłoszenia. Łata została wydana bardzo szybko – według oświadczenia producenta problem został rozwiązany już 11 lutego 2026 roku. Część prac naprawczych trwała podobno jeszcze przed publicznym ujawnieniem.
To kolejny przypadek, gdy popularne odkurzacze autonomiczne (wcześniej m.in. Ecovacs Deebot czy Dreame) okazały się słabo zabezpieczone. Od lat ostrzega się, że urządzenia IoT z kamerami i mikrofonami w domach to potencjalne narzędzia inwigilacji – wystarczy jedna poważna luka w zabezpieczeniach.
Dlaczego to ważne dla zwykłych użytkowników?
Historia Sammy’ego pokazuje, jak cienka jest granica między „fajnym hackiem hobbystycznym” a realnym zagrożeniem prywatności. Wystarczyło użycie własnego klucza, by uzyskać dostęp do tysięcy obcych mieszkań.
Na szczęście w tym przypadku trafiła kosa na kamień – odkrywca nie miał złych zamiarów i wolał ujawnić problem niż go wykorzystać. DJI zareagowało szybko, co należy im oddać.
Ale pytanie pozostaje: ile podobnych luk wciąż czeka w innych markach smart-odkurzaczy?
Źródło: Goniec.pl
Obserwuj w Google News
