Привязав DJI Romo к джойстику, умелец обрел контроль над 10 тыс. пылесосов

Привязав DJI Romo к джойстику, умелец обрел контроль над 10 тыс. пылесосов

Привязав DJI Romo к джойстику, умелец обрел контроль над 10 тыс. пылесосов

Специалист по ИИ из компании, сдающей в аренду жилье на праздники, написал программу для удаленного управления своим пылесосом DJI Romo через джойстик PS5 и обнаружил, что получил доступ к 6700 таким же роботам из 24 стран.

Более того, в его власти оказались портативные зарядные устройства DJI Power, привязанные к тем же серверам. Суммарно эксперимент выявил более 10 тыс. IoT-гаджетов, уязвимых к злоупотреблениям.

Проводя уборку в помещениях, DJI Romo обычно работает автономно, но его расписанием и задачами также можно управлять через приложение. Чтобы выяснить, каким образом робот-пылесос общается со своими серверами, Сэмми Аздуфал (Sammy Azdoufal) провел обратный инжиниринг с помощью ИИ-ассистента Claude Code.

Получив токен для связи со своим умным гаджетом через облако, программист обнаружил, что ключ открывает доступ к 6700 других DJI Romo, используемых жителями разных стран.

Тестирование созданного Аздуфалом игрового контроллера показало, что с его помощью можно выявить местоположение (IP-адреса) всех подключенных к интернету пылесосов в данной группе и получить информацию о планировке помещений, в которых они работают.

Как оказалось, смарт-пылесосы DJI каждые три минуты шлют видеоотчет на сервер компании, указывая свой серийный номер, обрабатываемую комнату, прогресс, оставшийся заряд и встреченные препятствия.

 

О баге в бэкенде DJI Romo, превращающем умного помощника в инструмент слежки, Аздуфал сообщил и вендору, и журналистам. На настоящий момент проблема в целом решена.

Экспертов давно тревожит вопрос безопасности IoT-устройств, способных открыть доступ к умному дому и поставить под угрозу благополучие его владельца. При отсутствии адекватной защиты подобные гаджеты могут послужить точкой входа в домашнюю компьютерную сеть или инструментом атаки в составе ботнетов; собранные через эксплойт данные также можно использовать для манипуляций и шантажа.

Житель Новосибирска осужден за взлом систем мобильного оператора

Октябрьский суд Новосибирска приговорил 40-летнего жителя города к пяти годам лишения свободы условно с испытательным сроком 3 года 6 месяцев. Его признали виновным во взломе информационной системы мобильного оператора и продаже данных, к которым он получил доступ.

О вынесении приговора по ч. 5 ст. 274.1 УК РФ (неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре РФ) сообщил Интерфакс со ссылкой на прокуратуру Новосибирска.

«Установлено, что подсудимый в период времени с 15 сентября по 29 октября 2023 г., используя персональный компьютер, обнаружил уязвимость сервиса информационной системы мобильного оператора, получил неправомерный доступ к сведениям о телефонных соединениях, данным о местонахождении абонентов, персональным данным, а также сведениям, необходимым для авторизации в аккаунтах одного из мессенджеров», — приводит агентство выдержку из сообщения прокуратуры.

От действий фигуранта пострадали 33 человека. Полученные данные он продал третьим лицам. Подсудимый полностью признал вину.

Суд назначил ему пять лет лишения свободы условно с испытательным сроком 3 года 6 месяцев. Кроме того, у подсудимого конфисковали компьютер, пять телефонов и 1 млн рублей.

По данным исследования компании «СерчИнформ», 55% эпизодов по ИБ-преступлениям относится к отрасли связи. Речь идёт о преступлениях по статьям 137, 138, 159, 159.6, 183, 272 и 274.1 УК РФ.

RSS: Новости на портале Anti-Malware.ru