レポート 4274

TL;DR

• 複数の ECOVACS Deebot X2 ロボット掃除機が米国各地の都市でハッキングされたと報じられています。

• ハッキングされたロボットは、飼い主に罵声を浴びせたり、ペットを追いかけたりと、あらゆることを行っていたとされています。

• セキュリティ研究者は、ロボットとそれを制御するアプリに重大なセキュリティ上の欠陥が見つかったと同社に通知しました。

サイバーセキュリティは軽視すべきものではありません。スマートホーム 製品に関する新しいレポートは、その点を完璧に浮き彫りにしています。数日間にわたって、複数のロボット掃除機が米国各地の都市でハッキングされました。

オーストラリアのABCニュースは、ハッカーが国内の複数の都市でロボット掃除機を完全に制御できたと報じている。ハッキングにより、攻撃者は所有者に人種差別的な言葉を叫んだり、遠隔操作でデバイスを操作してペットを追いかけたり、掃除機のカメラを通して見たりすることが可能になった。影響を受けたロボット掃除機はすべて、中国製のECOVACS Deebot X2という同じメーカー、同じモデルだった。

ミネソタ州の弁護士ダニエル・スウェンソン氏からの報告がある。スウェンソン氏の場合、彼はテレビを見ていたところ、掃除機が「途切れたラジオ信号か何か」のような奇妙な音を立てていることに気づいた。スウェンソン氏は、見知らぬ人がライブカメラの映像とリモートコントロール機能にアクセスしているのを見て、パスワードをリセットしてロボットを再起動したとメディアに語った。妻と13歳の息子と一緒にソファに座ると、ロボットはすぐに再び動き出し、スウェンソン氏の家族は人種差別的な卑猥な言葉を吐き出すのをはっきりと聞くことができた。

「子供、おそらくティーンエイジャーだったという印象を受けた」とスウェンソン氏は語った。「彼らはデバイスからデバイスへと飛び移って家族を困らせていたのかもしれない」。弁護士はその後、デバイスの電源を切り、ガレージに持ち込んだが、電源は切られたままである。すべてが不気味だったにもかかわらず、スウェンソン氏は、ハッカーが誰にも気づかれずに家族を静かに観察していた可能性もあり、もっとひどいことになっていたかもしれないと語る。スウェンソン氏は、ロボットを家族の主浴室と同じ階に置いていたと述べ、「うちの一番下の子供たちはそこでシャワーを浴びている」と付け加えた。

ミネソタ州での事件は5月24日に発生し、ロサンゼルスでDeebot X2がハッキングされ、飼い主の犬を追いかけるために使用されたのと同じ日だった。エルパソでもミネソタ州と同様に、プラグが抜かれるまで飼い主に人種差別的な言葉が浴びせられた事件が報告された。

ハッキングされたDeebot X2の台数は不明だが、ECOVACSは6か月前にセキュリティ研究者からロボットとアプリの深刻なセキュリティ上の脆弱性について警告されていたと報じられている。最も深刻な欠陥はBluetoothコネクタで、これにより300フィート以上離れたところからでも完全なアクセスが可能になる可能性があり、これがこれらの事件の原因である可能性は低い。2023年12月、セキュリティ研究者のデニス・ギーズ氏とブレイリン・ルードケ氏は、カメラフィードを保護するPINコードシステムに問題を発見した。PINコードはアプリのみでチェックされ、サーバーやロボットではチェックされなかったため、技術的なノウハウがあればチェックを回避できる可能性がある。

2人がこの脆弱性を公表する前に、ECOVACSはこの問題について警告を受けていた。広報担当者は脆弱性は修正されたと主張しているが、Giese氏はABCに対し、解決策は不十分だったと語った。

同紙によると、ECOVACSは11月にDeebot X2のパッチをリリースする予定だという。同社は顧客にパスワードの変更を促すメールを送ったとも言われている。