Scoperta vulnerabilità nei robot aspirapolvere DJI: accesso a 7.000 dispositivi
Un ingegnere individua una criticità nei sistemi cloud DJI che espone dati e videocamere di migliaia di robot aspirapolvere.
Un ingegnere software ha ricevuto una ricompensa di 30.000 dollari per aver scoperto una vulnerabilità critica nel backend cloud di DJI, che ha esposto dati sensibili relativi a circa 7.000 robot aspirapolvere DJI Romo distribuiti in 24 paesi. L’esperto, Sammy Azdoufal, intendeva semplicemente controllare il suo dispositivo tramite un controller PS5, ma durante il processo ha identificato un difetto nell’autorizzazione dei dispositivi sul cloud.
La falla permetteva l’accesso non solo ai propri dati, ma anche ai feed video e audio in tempo reale, ai dati dei sensori e persino agli indirizzi IP delle abitazioni dove erano installati i robot. In pratica, un malintenzionato avrebbe potuto ottenere planimetrie 2D delle abitazioni e informazioni sulla posizione degli utenti.
DJI sostiene di aver iniziato a correggere la vulnerabilità già prima della segnalazione ufficiale e ha rilasciato patch automatiche tra l’8 e il 10 febbraio, senza richiedere interventi agli utenti. Tuttavia, permangono interrogativi sulla gestione della segnalazione e sull’attribuzione dei meriti.
La vicenda riaccende l’attenzione sulla sicurezza dell’Internet of Things e sull’importanza di procedure di autorizzazione robuste per i dispositivi connessi.
