Роботы-пылесосы Ecovacs превратились в шпионов

Исследователи кибербезопасности Деннис Гизе и Брэйлинн обнаружили, что роботы-пылесосы и газонокосилки от компании Ecovacs могут стать инструментом для шпионажа за их владельцами.

Исследования, представленные на Def Con, показали, что злоумышленники могут получить контроль над устройствами через Bluetooth и использовать встроенные камеры и микрофоны для слежки. Более того, выявленные проблемы безопасности позволяют взломать устройства всего за несколько секунд.

Согласно интервью специалистов с изданием TechCrunch, основная уязвимость заключается в возможности подключиться к роботу через Bluetooth на расстоянии до 130 метров. Затем хакеры могут получить доступ к устройству через интернет, так как роботы подключены к Wi-Fi. После взлома злоумышленники могут управлять роботом, получать доступ к картам помещений, а также включать камеры и микрофоны.

Особенно тревожит тот факт, что на большинстве новых моделей Ecovacs установлены как минимум одна камера и микрофон, а индикаторы активности устройств отсутствуют. Теоретически, на некоторых моделях должно звучать уведомление каждые 5 минут, если камера включена, но хакеры могут легко удалить файл с такой настройкой и продолжать незаметное наблюдение.

Дополнительно исследователи выявили другие проблемы с устройствами Ecovacs. Например, данные пользователей остаются на облачных серверах компании даже после удаления аккаунта, что позволяет киберпреступникам сохранять доступ к устройству. Также был обнаружен слабозащищенный PIN-код на газонокосилках, который хранится в открытом виде и может быть легко найден и использован.

Гизе и Брэйлинн попытались связаться с Ecovacs, чтобы сообщить о найденных уязвимостях, но не получили ответа. Эксперты выражают серьёзную озабоченность тем, что компания до сих пор не устранила проблемы, что оставляет миллионы пользователей по всему миру уязвимыми перед потенциальными атаками.

Специалисты анализировали модели Ecovacs Deebot 900 Series, Deebot N8/T8, Deebot N9/T9, Deebot N10/T10, Deebot X1, Deebot T20, Deebot X2, Goat G1, Spybot Airbot Z1, Airbot AVA и Airbot ANDY. По словам исследователей, если хотя бы одно из устройств будет взломано, злоумышленники могут также получить доступ к другим роботам Ecovacs, находящимся поблизости.