Lỗ hổng bảo mật DJI Romo: Lập trình viên vô tình kiểm soát 7.000 robot hút bụi toàn cầu

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trên dòng robot hút bụi DJI Romo, cho phép truy cập trái phép vào dữ liệu nhạy cảm của hàng nghìn thiết bị trên toàn thế giới. Đáng chú ý, sự cố này không được tìm thấy bởi các hacker chuyên nghiệp mà xuất phát từ một thử nghiệm cá nhân của một kỹ sư phần mềm AI.

Sự cố hy hữu: Kiểm soát 7.000 thiết bị bằng tay cầm PlayStation

Sammy Azdoufal, một kỹ sư phần mềm AI, đã vô tình phát hiện ra lỗ hổng này khi đang cố gắng lập trình để điều khiển robot DJI Romo của mình bằng tay cầm PlayStation. Thay vì chỉ kết nối được với thiết bị cá nhân, hệ thống lại cấp quyền cho ông truy cập vào khoảng 6.700 robot khác đang hoạt động tại Hoa Kỳ, Châu Âu và Trung Quốc.

Azdoufal khẳng định ông không sử dụng bất kỳ kỹ thuật tấn công mã độc hay xâm nhập trái phép nào. Chỉ bằng cách sử dụng mã thông báo (token) từ thiết bị của chính mình, ông đã có thể kết nối thẳng tới máy chủ trực tiếp của DJI và nhìn thấy danh sách các thiết bị đang hoạt động trên toàn cầu.

Nguy cơ rò rỉ dữ liệu hình ảnh và bản đồ nhà ở

Lỗ hổng này được đánh giá là cực kỳ nguy hiểm vì nó cho phép người lạ thực hiện các thao tác xâm phạm quyền riêng tư nghiêm trọng:

• Xem nguồn cấp dữ liệu trực tiếp từ camera và nghe âm thanh từ micro của robot.
• Truy xuất bản đồ chi tiết cấu trúc căn nhà mà robot đã quét được.
• Điều khiển từ xa hướng di chuyển của robot như một thiết bị giám sát.

Theo báo cáo từ The Verge, việc lộ lọt bản đồ nhà và hình ảnh trực tiếp từ bên trong không gian riêng tư là một trong những rủi ro lớn nhất đối với các thiết bị IoT (Internet of Things) gia đình hiện nay.

Phản hồi từ DJI và những vấn đề bảo mật còn tồn đọng

Ngay sau khi nhận được thông báo từ Azdoufal, DJI đã nhanh chóng phát hành các bản cập nhật phần mềm để khắc phục sự cố. Các bản vá này được triển khai tự động qua đám mây mà không yêu cầu người dùng phải thao tác thủ công. Tuy nhiên, kỹ sư Azdoufal lưu ý rằng vẫn còn một số vấn đề nhỏ chưa được giải quyết triệt để, bao gồm khả năng truyền video mà không cần mã PIN bảo mật.

Sự việc lần này dấy lên hồi chuông cảnh báo về an ninh của các thiết bị thông minh. Trước đó, dòng robot iLife A11 cũng từng bị phát hiện gửi dữ liệu đo lường về nhà sản xuất một cách bất thường. Các chuyên gia bảo mật nhấn mạnh rằng nếu một người dùng bình thường có thể vô tình tiếp cận dữ liệu của hàng nghìn cá nhân, thì một cuộc tấn công có chủ đích từ tội phạm mạng có thể gây ra thiệt hại lớn hơn nhiều so với dự kiến.