DJI выплатит $30 000 исследователю за случайный взлом 7000 роботов-пылесосов
Кодик кратко объясняет суть статьи
Компания DJI выплатит исследователю Сэмми Аздуфалу 30 000 долларов за обнаружение критической уязвимости в сети роботов-пылесосов DJI Robo, позволявшей получать доступ к видеотрансляциям с 7000 устройств и удалённо управлять ими. Уязвимость была найдена случайно при попытке подключить пылесос к геймпаду PlayStation. Аздуфал смог просматривать видеопоток без ввода защитного кода, используя ИИ-инструмент Claude Code, несмотря на наличие у устройств сертификатов безопасности ETSI, EU и UL. DJI устранила уязвимость к концу февраля 2026 года, но полное обновление системы безопасности займёт ещё около месяца. Компания подтвердила выплату вознаграждения, не называя имени исследователя, и поблагодарила двух независимых специалистов, заявив о планах наладить сотрудничество с ИБ-сообществом и проводить регулярные сторонние аудиты.
Читайте в Telegram
|
Компания DJI выплатит вознаграждение в размере $30 000 (около 2,4 млн рублей) Сэмми Аздуфалу, который обнаружил критическую уязвимость в сети роботов-пылесосов DJI Romo.
Исследователь смог получить доступ к прямой трансляции с камер 7000 устройств, что позволяло дистанционно наблюдать за происходящим внутри домов пользователей.
Уязвимость была обнаружена случайно: Аздуфал пытался настроить управление своим пылесосом с помощью геймпада PlayStation. В процессе он обнаружил доступ ко всей сети роботов DJI, готовых к удалённому управлению.
Аздуфал нашёл способ просматривать видеопоток без ввода защитного кода. Эту проблему DJI устранила к концу февраля 2026 года.
Интересно, что устройства имели сертификаты безопасности ETSI, EU и UL. Однако это не помешало исследователю получить доступ к сети, используя ИИ-инструмент Claude Code.
DJI подтвердила выплату вознаграждения, хотя официально не называет имени исследователя. В официальном блоге DJI заявляет, что обнаружила проблему самостоятельно, но при этом выражает благодарность «двум независимым исследователям» за помощь.
На текущий момент уязвимость закрыта, а полное обновление системы безопасности и исправление оставшихся критических багов займёт ещё около одного месяца.
JI пообещала запустить новые форматы сотрудничества с сообществом ИБ-специалистов и проводить регулярные сторонние аудиты своих приложений.
