Một thủ thuật đơn giản đã cho phép chủ sở hữu một chiếc DJI Romo hoàn toàn mới truy cập vào mạng lưới toàn cầu gồm 7.000 robot hút bụi

Việc này không nên xảy ra.

DJI Romo (Nguồn ảnh: @JasperEllens)

Robot hút bụi đầu tiên của DJI , DJI Romo, đang mở rộng sang nhiều thị trường hơn sau khi ra mắt năm ngoái – nhưng dường như nó đi kèm với một số lỗ hổng bảo mật khá lớn, dẫn đến việc một hacker nghiệp dư đã chiếm quyền kiểm soát 7.000 chiếc máy.

Theo trang The Verge đưa tin, Sammy Azdoufal, chủ sở hữu DJI Romo, đã cố gắng sử dụng bộ điều khiển PS5 để điều khiển robot hút bụi mới của mình thì vô tình chiếm quyền điều khiển hàng nghìn thiết bị. Ứng dụng điều khiển từ xa của Azdoufal, được tạo ra với sự trợ giúp của Claude Code, đã vượt qua một số biện pháp bảo mật khá cơ bản trên máy chủ của DJI.

Không chỉ có thể điều khiển bất kỳ robot hút bụi nào, Azdoufal còn có thể truy cập video và âm thanh mà chúng truyền về, cũng như xem sơ đồ mặt bằng 2D của những ngôi nhà mà chúng đang ở. Địa chỉ IP cũng có thể truy cập được, nghĩa là có thể tính toán vị trí gần đúng của những ngôi nhà này, cùng với tất cả các thông tin khác.

Có vẻ như mã bảo mật mà Azdoufal sử dụng để xác nhận quyền sở hữu thiết bị của mình đủ để máy chủ của DJI cấp quyền truy cập cho hàng nghìn thiết bị DJI Romo khác. Thậm chí cả các trạm sạc di động DJI Power cũng xuất hiện trên bản đồ, báo cáo chẩn đoán và trạng thái.

Bản sửa lỗi sẽ sớm được phát hành.

Tin tốt là DJI đã vá lỗi này, xác nhận với The Verge rằng vấn đề hiện đã được "giải quyết" và thực tế là "việc khắc phục đã được tiến hành trước khi thông tin được công bố". Tuy nhiên, điều đáng lo ngại là điều này lại có thể xảy ra ngay từ đầu, với hệ thống bảo mật quá yếu kém chống lại các cuộc tấn công mạng.

Trên thực tế, các sản phẩm mới của DJI hiện đang bị cấm tại Mỹ do lo ngại về các giao thức bảo mật và mối liên hệ của công ty với chính phủ Trung Quốc – và những nghi ngờ xung quanh việc do thám và thu thập dữ liệu bí mật sẽ không được xoa dịu bởi thảm họa an ninh mới nhất này.

Thực tế, DJI Romo còn gặp phải một vấn đề bảo mật khác, mà trang The Verge cho là quá nghiêm trọng để công khai đưa tin. DJI cho biết vấn đề thứ hai này sẽ được khắc phục trong vòng vài tuần , nhưng điều này khó có thể tạo được niềm tin cho bất kỳ ai đang muốn mua một trong những robot hút bụi tốt nhất hiện nay.

Đây lại là bằng chứng nữa cho thấy các thiết bị nhà thông minh thuộc hàng tệ nhất về vấn đề bảo mật. Chúng tôi đã liên hệ với DJI để xin ý kiến ​​chính thức về bài báo của The Verge và sẽ thông báo lại nếu nhận được phản hồi.