PS5コントローラーで愛用のロボット掃除機を操作しようとした人、勢い余って“世界の数千台のロボット掃除機を動かせる脆弱性”を発見。メーカーから約500万円の報奨金
PS5コントローラーでロボット掃除機を操作しようとした人物が偶然脆弱性を発見し、メーカーから報奨金を受け取ることになったという。
ドローンなどの製造・販売をおこなう企業DJIが、同社のクラウドバックエンドの脆弱性を報告した人物に対して1件あたり3万ドル（約480万円）の報奨金を支払うという。この報告者とみられるのが、PS5コントローラーでロボット掃除機を操作しようとした人物だ。The Vergeなど複数の海外メディアが報じている。
今回話題となっている人物は、エンジニアのSammy Azdoufal氏である。発端となったのはDJI社が手がけるロボット掃除機DJI RomoをPS5のコントローラーDualSenseで操作したいという同氏の思いつきであった。ところがその際に思いがけず“他人の約7000台のロボット掃除機から送信される情報にアクセスできる脆弱性に気づいたのだという。同氏はこれをもとに発見した複数の脆弱性についてDJIに報告しており、どの脆弱性に今回の報奨金が支払われるのかは定かではないが、同氏が海外メディアThe Vergeに提供したメールでは「脆弱性の発見1つについて3万ドル」が支払われるという。The VergeによればDJI側も、報告者の名は明かしていないものの脆弱性の報告に報酬を支払ったと認めたとのこと。
そんなSammy氏はもちろんはじめから他人のロボット掃除機の情報にアクセスしようとしていたわけではない。同氏は自身の所有するロボット掃除機を手動で操作するために、PS5コントローラーを接続することを思いついた。とはいえ、もともとロボット掃除機にそんな機能は搭載されていない。そこでSammy氏はロボット掃除機がコントローラーからの入力を受け付けられるよう、独自のアプリを開発してインストールすることにした。
自身の所有するデバイスであるという認証なしに、ロボット掃除機を操作することはできない。そのためSammy氏は独自のアプリに、自身のセキュリティトークンを使う必要があった。同氏はAIアシスタントの助けも借りつつ、DJIのクラウドサーバーの認証プロセスをリバースエンジニアリングして、自身のセキュリティトークンの抽出に成功。ところが、Sammy氏がアクセスできたのは同氏の所有する1台だけではなかった。なんと24か国に存在する約7000台もの掃除機などがクラウドサーバーに送信するデータにアクセスすることが可能となっていたという。一部は操作も可能であったほか、ライブカメラの映像も確認できる状態であったそうだ。同社はこのことを報じたThe Vergeの取材に対して、デバイスとサーバー間の通信に影響するバックエンドの権限検証の不備（a backend permission validation issue）があったことを認めていた。
DJIはドローンの製造や販売で知られており、ロボット掃除機DJI Romoにもそのカメラの技術が活用されている。同製品はわずかな段差や障害物を認識できるほか、映像や音声を取得してペットカメラのように使うこともできるのだ。それはつまり、Sammy氏が約7000台のロボット掃除機のカメラに映されたストリーミング映像や、マイクからの音声、ロボット掃除機が作成したおおよその間取り図、さらにはIPアドレスを取得して設置されている住宅のおおまかな位置の推測までもできる状態だったということでもある。同氏がこうした情報を秘密裏に悪用することなく報告したのは、まさに善意に依る行動だったと言える。
なおDJIは1月下旬には社内調査で今回話題となった脆弱性を発見し、修正に着手していたという。最初のセキュリティパッチの配信は2月8日におこなわれ、続く2月10日にもアップデートが配信されたが、Sammy氏が脆弱性を発見したのは2月8日よりも前だそうだ。The Vergeが最初にこの件を報じた2月14日には脆弱性の一部が修正済みであった。ただSammy氏が報告した脆弱性がすべて修正されていたわけではなく、内容が伏せられている“深刻な脆弱性”についてはシステム全体のアップグレードの一環として今後1か月以内に完全に実装される見込みとのこと。
ロボット掃除機を自らゲームコントローラーで操作するという遊び心から重大な脆弱性を発見したというSammy氏は、思わぬ報酬も得ることになったようだ。誰かに悪用される前にきちんと報告がおこなわれたのは、幸いだったと言うほかない。
この記事にはアフィリエイトリンクが含まれる場合があります。
