רצה רק לשחק עם השואב: כך גילה מתכנת גישה לאלפי בתים ברחבי העולם

מה שהתחיל כניסוי ביתי מסקרן הפך בתוך שעות לסיפור שמסעיר את עולם אבטחת המידע: מהנדס התוכנה סאמי אזדופאל (Sammy Azdoufal) רצה לעשות משהו שרבים מחובבי הטכנולוגיה חולמים עליו - לשלוט בשואב האבק הרובוטי החדש שלו, באמצעות שלט של פלייסטיישן 5.

כדי לגרום לכך לעבוד, הוא נעזר בעוזר תכנות מבוסס בינה מלאכותית, שניתח את אופן התקשורת בין השואב לבין שרתי החברה. אלא שבמקום להתחבר רק למכשיר שבביתו, התברר שהמערכת העניקה לו גישה למידע של אלפי שואבים נוספים ברחבי העולם.

לפי הדיווחים, כ־7,000 שואבים רובוטיים מ־24 מדינות החלו "לענות" לתוכנה שפיתח, וכל אחד מהם שלח מידע שהיה אמור להיות זמין רק לבעליו.

בין הנתונים שאליהם הצליח להגיע היו:

• מצב הסוללה של המכשיר.
• מסלולי הניקוי.
• מפות מפורטות של הבית.
• מספרים סידוריים של המכשירים.
• ובחלק מהמקרים גם גישה למצלמות ולמיקרופונים המובנים בשואב.

חוקרים מטעם חברת השרתים אמרו שמקור הבעיה לא היה בפריצה מתוחכמת אלא בכשל בהרשאות בשרתים. לאחר שהמשתמש הזדהה באמצעות מפתח הגישה של השואב הפרטי שלו, השרתים לא הגבילו את המידע למכשיר אחד בלבד, אלא אפשרו גישה לנתונים של אלפי מכשירים אחרים.

המשמעות הייתה שכל מי שהיה מצליח לבצע את אותה פעולה, היה עלול לצפות במידע אישי של משתמשים אחרים. אזדופאל מדגיש כי לא ניסה לרגל אחרי איש ולא עשה שימוש לרעה במידע. לאחר שהבין את חומרת הממצאים, הוא דיווח עליהם באופן אחראי, והחברה החלה לפרסם עדכוני תוכנה שנועדו לסגור את הפרצה.

עם זאת, לפי חלק מהדיווחים, בזמן הפרסום עדיין נבדקו ותוקנו ליקויי אבטחה נוספים.

למה דווקא שואב רובוטי?

השואבים המתקדמים של היום הם הרבה יותר ממכשירי ניקוי. כדי לנווט בבית הם מצוידים במצלמות, חיישני לייזר, מיקרופונים, חיבור לאינטרנט וזיכרון שמאפשר להם לבנות מפה מדויקת של הבית ולזהות מכשולים. כל הנתונים האלה הופכים אותם לנוחים במיוחד לשימוש, אך גם לרגישים יותר מבחינת פרטיות ואבטחת מידע.

בשנים האחרונות כבר נחשפו מקרים נוספים של חולשות אבטחה במכשירי בית חכם, כולל שואבים רובוטיים, מצלמות אבטחה ומוניטורים לתינוקות. מומחי סייבר מזהירים כי ככל שיותר מכשירים מחוברים לאינטרנט, כך גדלה החשיבות של עדכוני תוכנה, הרשאות מאובטחות ובדיקות אבטחה קפדניות.

איך אפשר להגן על עצמכם?

מומחי אבטחה ממליצים:

• לעדכן את מערכת ההפעלה של המכשיר באופן קבוע.
• להשתמש בסיסמה חזקה לחשבון המשתמש.
• להפעיל אימות דו־שלבי אם הוא זמין.
• לכבות מצלמה או מיקרופון כאשר אין בהם צורך, אם המכשיר מאפשר זאת.
• לשקול אם בכלל נחוצים בבית מכשירים הכוללים מצלמה ומיקרופון, כאשר קיימות חלופות המבוססות על חיישני לייזר בלבד.