Любознательный инженер случайно возглавил целую армию роботов-пылесосов

Почему ваш робот-пылесос может шпионить за вами: разбор скандала с DJI Romo

Инженер Сэмми Аздуфаль просто хотел поиграться. Взял джойстик от PlayStation 5, подключился к своему пылесосу DJI Romo. А получил доступ к семи тысячам чужих устройств. Из 20 стран. С прямыми видеотрансляциями из спален, гостиных и офисов. Это не хакерская атака — это ошибка проектирования. И таких ошибок — миллионы.

Мало кто знает, что протокол MQTT, на котором построена связь этих пылесосов, изначально разрабатывался для нефтяной промышленности. Там безопасность не была приоритетом. Главное — лёгкость и скорость. В итоге десятки миллионов IoT-устройств до сих пор используют его «как есть». DJI просто повторила чужую халатность.

Как это работает: краткая анатомия уязвимости

Диспетчер сообщений MQTT — это сервер, который пересылает данные между устройствами. В нормальной системе каждому пылесосу даётся уникальный токен (пароль). Но у DJI всё свелось к единому токену аутентификации. После входа устройство получало доступ к любой теме на сервере. То есть любой пылесос мог читать сообщения других. И — да — смотреть их видео в реальном времени. Никакого шифрования на уровне сообщений не было. TLS защищал только канал, но не сами данные.

Аздуфаль использовал ИИ-помощника Claude Code для декомпиляции мобильного приложения. Это снизило порог входа: раньше такие атаки требовали недель ручного анализа. Теперь — несколько часов и промпт. Генеративный ИИ превращает каждого любопытного пользователя в потенциального тестера безопасности. Старая модель «злоумышленник должен быть профи» — больше не работает.

Личное наблюдение автора. Недавно я заметил, что в офисном здании, где я бываю, все пылесосы одной модели используют одинаковый пароль для Wi-Fi. Спросил у техника — «так проще настраивать». Теперь я знаю, что через один взломанный пылесос можно открыть всю сеть. Производители должны перестать упрощать безопасность ради удобства.

Реакция DJI: исправили — не исправили

Пресс-секретарь Дейзи Конг объявила об устранении ошибки. Через 30 минут Аздуфаль показал: тысячи устройств всё ещё транслируют видео. Потом компания выпустила два патча (8 и 10 февраля). Но проблема глубже. Даже после фикса — обход PIN-кода камеры остаётся открытым. А шифрование TLS — не панацея. Оно защищает канал, но если сервер сам отдаёт данные в открытом виде — толку ноль.

Регуляторы (GDPR в Европе, CCPA в Калифорнии) пытаются ужесточить требования. Но что делать, если производитель зарегистрирован в Китае и игнорирует запросы? Законы работают только там, где есть юрисдикция. Пока пользователь — единственный барьер.

Как защитить себя: пошаговый совет

1. Отдельная гостевая сеть. Выделите для всех IoT-устройств изолированный Wi-Fi. Если пылесос взломают, хакер не доберётся до вашего ноутбука.
2. Обновляйте прошивку. DJI выпустила патч — ставьте его. Да, это не решит всех проблем, но закроет самые очевидные дыры.
3. Отключите неиспользуемые функции. Камера в пылесосе — роскошь. Современные лидарные системы отлично строят карту без видеосъёмки. Если можете — купите модель без камеры.
4. Проверьте настройки PIN. Убедитесь, что камера блокируется кодом. Но помните: его обход — лишь вопрос времени.

Сравнение: пылесос с камерой vs. без камеры

Вывод очевиден. Камера — это не функция, а дыра в приватности. Я настоятельно рекомендую отдавать предпочтение моделям без видеосъёмки, если вы не готовы постоянно мониторить обновления и рисковать.

Моё мнение. Производители халтурят. Они экономят на безопасности, а пользователи платят своими данными. Пока не появятся жёсткие санкции (например, отзыв лицензии за утечку), ситуация не изменится. Единственный рабочий метод — голосование кошельком. Не покупайте умные устройства с камерами, если они не проходят независимый аудит.

История с DJI Romo — не единичный случай. Это симптом. Протокол MQTT, единые токены, отсутствие шифрования на уровне приложения — всё это встречается в каждом втором IoT-гаджете. Будьте бдительны. И помните: если устройство может смотреть — оно, скорее всего, смотрит. И не только на вас.