ABD’de bir kullanıcı, farkında olmadan bir açık keşfederek binlerce cihaza sızdı. Sammy Azdoufal isimli kullanıcı, yeni aldığı DJI Romo robot süpürgesine yapay zeka kullanarak özel bir yazılım yapmak istedi. Vibe coding adı verilen teknikle yapay zekaya komut verilerek özel yazılım yazılabiliyor. Sammy Azdoufal, bu tekniği kullanarak playstation 5 oyun kumandasını robot süpürgesine bağlamak istedi. Ancak bu sırada yanlışlıkla başkalarının cihazlarına erişim sağladı.
Geliştirdiği uygulama DJI’ın bulut sunucularına bağlandığında, sistemin sadece kendi cihazını değil, dünya genelindeki binlerce diğer kullanıcıya ait cihazı da kontrol edebildiğini fark etti. Bu olay, DJI’ın backend adı verilen kısımda kaynaklanan kimlik doğrulama hatasından kaynakladığı ortaya çıktı.
Sızıntı Hangi Cihazları Etkiledi?
Bu açık sayesinde Azdoufal, 24 farklı ülkede bulunan yaklaşık 6.700 robot süpürge ve binlerce taşınabilir güç istasyonu dahil olmak üzere toplamda 10.000’den fazla DJI marka cihaza tam erişim sağlamış oldu. Hatta diğer insanların ev planlarını, konumlarını ve cihazlara ait detay bilgiler de Azdoufal’ın eline geçti. Hatta 14 haneli bir kod kullanarak cihazların şifre korumalarını atlayabildiği ve bu sayede tanımadığı insanların evlerindeki robotları uzaktan kumanda edebildiğini gösterdi.
Sorun Devam Ediyor mu?
Olay firmaya bildirildikten sonra yeni bir güvenlik yaması yayınlanarak güvenlik açığı kapatıldı. DJI açıklamasında bu açığın kötü niyetli kişilerce kullanılmadığını bildirdi. Ancak bu olay, internete bağlı cihazların güvenliği konusunda soru işaretlerine sebep oldu. Yapılan araştırmaya göre birçok kullanıcının robot süpürgeler konusunda mahremiyet çekinceleri bulunuyor.