Компания DJI выплатит вознаграждение в размере $30 000 (около 2,4 млн рублей) Сэмми Аздуфалу, который обнаружил критическую уязвимость в сети роботов-пылесосов DJI Romo.
Исследователь смог получить доступ к прямой трансляции с камер 7000 устройств, что позволяло дистанционно наблюдать за происходящим внутри домов пользователей.
Уязвимость была обнаружена случайно: Аздуфал пытался настроить управление своим пылесосом с помощью геймпада PlayStation. В процессе он обнаружил доступ ко всей сети роботов DJI, готовых к удалённому управлению.
Аздуфал нашёл способ просматривать видеопоток без ввода защитного кода. Эту проблему DJI устранила к концу февраля 2026 года.
Интересно, что устройства имели сертификаты безопасности ETSI, EU и UL. Однако это не помешало исследователю получить доступ к сети, используя ИИ-инструмент Claude Code.
DJI подтвердила выплату вознаграждения, хотя официально не называет имени исследователя. В официальном блоге DJI заявляет, что обнаружила проблему самостоятельно, но при этом выражает благодарность «двум независимым исследователям» за помощь.
На текущий момент уязвимость закрыта, а полное обновление системы безопасности и исправление оставшихся критических багов займёт ещё около одного месяца.
JI пообещала запустить новые форматы сотрудничества с сообществом ИБ-специалистов и проводить регулярные сторонние аудиты своих приложений.
Комментарии