رسوایی امنیتی بزرگ DJI؛ دسترسی از راه دور به دوربین ۷۰۰۰ جاروبرقی رباتیک!

در یک حادثه امنیتی تکان‌ دهنده، مردی که قصد داشت جاروبرقی رباتیک DJI Romo خود را با استفاده از کنترلر پلی‌استیشن ۵ هدایت کند، به طور ناخواسته به دوربین‌ های حدود ۷۰۰۰ جاروبرقی در سراسر جهان دسترسی پیدا کرد. این شکاف امنیتی به او اجازه داد تا از طریق اینترنت، حریم خصوصی خانه‌ های مردم را مشاهده کند.

به گزارش بخش اخبار فناوری زوم تک به نقل از PetaPixel، سامی ازدفال (Sammy Azdoufal) اپلیکیشنی را برای کنترل از راه دور DJI Romo با دسته PS5 توسعه داد. شرکت DJI سال گذشته این جاروبرقی را با بهره‌گیری از تکنولوژی پیشرفته پهپادهای خود، شامل سنسورهای تشخیص موانع و بینایی استریو (فیش‌آی)، روانه بازار کرده بود. اپلیکیشن ازدفال با اتصال به سرورهای جهانی DJI، به سطح باورنکردنی از دسترسی دست یافت که حتی سازنده نیز تصور آن را نمی‌کرد.

دسترسی کامل به نقشه‌ های خانه و پخش زنده ویدیو

ازدفال به رسانه The Verge اعلام کرد که او نه تنها می‌توانست تصاویر زنده دوربین‌ها را مشاهده کند و به صدای محیط گوش دهد، بلکه با استفاده از آدرس IP هر دستگاه، مکان تقریبی آن را نیز ردیابی می‌کرد. در یک دمو زنده، او موفق شد از طریق شماره سریال دستگاه، به نقشه دقیق آپارتمان یکی از نویسندگان The Verge و فید زنده ویدیویی آن دسترسی پیدا کند. طبق گفته‌های او:

• دسترسی به دوربین و میکروفون ۷۰۰۰ دستگاه در سراسر جهان ممکن شده بود.
• امکان استخراج نقشه خانه (Floor Plan) کاربران وجود داشت.
• حتی ایستگاه‌های برق قابل حمل DJI Power نیز از طریق این اپلیکیشن قابل شناسایی بودند.

باورنکردنی اما واقعی؛ نفوذ بدون هیچ‌گونه هک!

نکته وحشتناک اینجاست که ازدفال مدعی است برای این کار هیچ قانونی را زیر پا نگذاشته، از هیچ سد امنیتی عبور نکرده و اصطلاحاً هیچ “هکی” انجام نداده است. او صرفاً از یک “توکن خصوصی” (Private Token) مربوط به جاروبرقی خودش استفاده کرد و به دلایل نامعلومی، سرورهای DJI به این توکن اجازه دسترسی به کل پایگاه داده، از جمله سرورهای پیش از تولید را دادند.

واکنش DJI و نگرانی‌ های مداوم حریم خصوصی

اگرچه DJI پیش‌تر مدعی شده بود که این آسیب‌پذیری‌ها را برطرف کرده است، اما دموی زنده ازدفال ثابت کرد که این شکاف امنیتی همچنان پابرجاست. این شرکت اکنون اعلام کرده است که حل کامل این مشکل “چند هفته” زمان می‌برد. این اتفاق بار دیگر زنگ خطر را درباره امنیت خانه هوشمند به صدا درآورده است. کاربران انتظار دارند داده‌های تصویری خانه‌شان هم در حین انتقال و هم در سرورهای شرکت، به طور کامل محافظت شود.