ゲームパッドでDJI掃除機を操作しようとした開発者、7000台を誤って乗っ取り可能に

ゲーム機のコントローラーで掃除機を動かそうとしたエンジニアが、気づけば世界中のリビングを覗き見られるマスターキーを手にしていました。

ソフトウェアエンジニアの Sammy Azdoufal 氏は、新しく購入した DJI のロボット掃除機「Romo」をゲーム用コントローラーで遠隔操作するため、自作アプリの開発を進めていました。AI コーディングアシスタントを活用して掃除機と DJI のクラウドサーバー間の通信をリバースエンジニアリングしたところ、バックエンドの重大な欠陥に遭遇。自身のアカウントで、世界 24 カ国、約 7000 台の Romo にアクセスできてしまう状態になっていました。

悪意なきハックで露呈した、7000 台の移動式監視カメラ

Romo は約 2000 ドルで販売されている自律型掃除機で、昨年まず中国で展開され、順次世界市場に広がっています。高度な走行や部屋の判別のために、機体のカメラやセンサーが収集した間取りなどのデータは DJI のクラウドに送られます。

Azdoufal 氏は、自作アプリからサーバーに正規のオーナーであることを証明するトークンを取得しようとしただけでした。しかし、サーバー側の認証不備により、システムは彼を約 7000 台すべての所有者として認識してしまったのです。

これにより、他人の家のリアルタイムカメラ映像、マイクによる集音、作成された 2D 間取り図、IP アドレスに基づく大まかな位置情報まで閲覧可能な状態になっていました。氏は悪用することなく The Verge に情報を提供し、同メディア経由で DJI に報告。DJI によると、1 月下旬の社内レビューでも問題を把握しており、2 月 8 日と 10 日の 2 回にわたり自動でバックエンドの修正パッチを適用したため、ユーザー側の操作は不要だったとしています。

スマートホームが抱える根深いプライバシーリスク

スマートホーム機器のプライバシー問題は以前から懸念されています。最近でも Amazon 傘下 Ring のペット捜索機能広告が過剰な監視を助長すると批判を浴びたほか、Google の Nest ドアベルで削除されたはずの映像が捜査機関の要請で復元された事例など、ユーザーの手を離れたデータ管理に対する不信感が高まっていました。

さらに今後、家庭には掃除機だけでなく人型ロボットの導入が進む見込みです。1X や Tesla、Figure などが開発する家事支援ロボットは、より多くの高精度カメラとマイクを搭載し、家の中の細部まで学習する必要があります。クラウドの認証が一度ほころびれば、そのリスクは掃除機の比ではありません。

なぜ重要か

一般ユーザーにとって最も恐ろしいのは、被害を受けた約 7000 世帯が一切ミスをしていない点です。パスワードが脆弱だったわけでもフィッシングに遭ったわけでもなく、メーカーのサーバー側の権限チェックが抜けていただけで、自宅の映像や間取りが外部にさらされていました。

業界にとっては、ハードウェアの性能だけでなくクラウドセキュリティの基本がいかに致命傷になり得るかを改めて示す教訓となりました。DJI は高性能なセンサーを積んだ 2000 ドルの高級機を世に送り出しましたが、守りを台無しにしたのは最先端の攻撃ではなく、初歩的な API 認証のミスでした。

また、今回の件は AI コーディングツールの影響力も物語っています。高度なサイバー攻撃者でなくても、AI アシスタントを使えば通信の仕組みを素早く解析し、脆弱性を突くことができてしまいます。ハードウェアメーカーは今後、これまで以上に厳格なバックエンドの監査体制を整えなければ、コネクテッドデバイスそのものが信頼を失うことになると私たちは考えます。