När den indiske utvecklaren Harishankar Narayanan började undersöka sin smarta dammsugare iLife A11, upptäckte han att den inte bara städade hans hem – den skickade också detaljerad data om hans bostad till servrar på andra sidan jorden.
Viktigt att veta
- Många smarta dammsugare skickar data till externa servrar
- Kan innehålla fjärråtkomst-program som gör det möjligt att styra dem på distans
- Blockering av datainsamling kan leda till att produkten slutar fungera
- Samma hårdvara används i flera populära märken
- Robotdammsugare kan kartlägga hemmet i detalj via 3D-scanning
- Isolera alltid IoT-enheter på ett separat Wi-Fi-nätverk för att skydda din integritet
Från vardagsexperiment till digital mardröm
Allt började som ett oskyldigt test. Narayanan övervakade dammsugarens nätverkstrafik och upptäckte snabbt en ständig ström av data till tillverkaren – loggar och telemetri som han aldrig godkänt.
När han blockerade adressen som tog emot loggarna, utan att påverka uppdateringar, trodde han att saken var löst. I stället slutade dammsugaren plötsligt att fungera.
Efter flera reparationer, där servicecentret hävdade att allt fungerade perfekt, dog enheten gång på gång. Till slut nekades han fler reparationer med hänvisning till att garantin gått ut.
En dator på hjul
Utan något att förlora skruvade Narayanan isär dammsugaren – och fann ett fullfjädrat Linux-system med processorer, sensorer, lidar och gyroskop. I praktiken var det en liten dator på hjul, inte en enkel hushållsapparat.
När han kopplade upp sig via den öppna Android Debug Bridge (ADB) fick han full root-åtkomst – utan lösenord eller skydd. Han kunde läsa loggar, konfigurationsfiler och till och med hitta okrypterade Wi-Fi-lösenord som skickats till tillverkaren.
Den verkliga chocken kom när han upptäckte att dammsugaren körde Google Cartographer, en professionell 3D-kartsystemlösning som används i avancerad robotik. Den hade alltså byggt en detaljerad karta över hans hem och skickat den vidare till molnet.
Den dolda avstängningen
I en av startfilerna hittade Narayanan ett ändrat skript som stoppade huvudprogrammet från att starta. Tidsstämpeln motsvarade exakt det ögonblick dammsugaren hade slutat fungera.
Någon – eller något – hade skickat ett fjärrkommando som stängde av hans enhet permanent.
När han återställde skriptet startade den direkt igen. Enheten innehöll dessutom ”rtty”-programvara, som gav tillverkaren root-åtkomst på distans, vilket förklarade hur den kunde fjärrstyras utan användarens vetskap.
Narayanan drog slutsatsen att tillverkaren straffade honom för att ha blockerat datainsamlingen. När dammsugaren kopplades upp på servicecentrets öppna nätverk kunde den återaktiveras av tillverkaren, men så fort den återvände till hans brandvägg blev den ”brickad” igen.
Kan vara ett större problem än vi tror
Hårdvaran i hans modell tillverkas av 3irobotix – samma plattform som används i produkter från Xiaomi, Wyze, Viomi och Proscenic.
Det innebär att miljontals enheter potentiellt har samma bakdörr och kan fjärrstyras eller användas för datainsamling.
Enligt säkerhetsforskare kan komprometterade robotdammsugare vara särskilt farliga, eftersom de kan ge åtkomst till kameror, mikrofoner, sensorer och 3D-kartor över privata hem.
Narayanan lyckades till slut återställa dammsugaren – nu helt offline, utan moln, utan fjärråtkomst.
Men erfarenheten lämnade honom med en varning till alla användare:
”De skapade inte bara en bakdörr – de använde den. Jag trodde att jag ägde min dammsugare. I själva verket var det de som gjorde det.”
Frågor och svar
Vad är säkerhetsrisken med en robotdammsugare?
Att den skickade loggar, kartdata och Wi-Fi-uppgifter till tillverkare utan att du vet om det.
Vad händer om man blockerar datainsamlingen?
I vissa fall inget, i andra kan ett så kallat ”kill-kommando” skickas som får robotdammsugaren att sluta fungera.
Vilken programvara användes för att kartlägga hemmet?
Bland annat kan Google Cartographer användas, ett avancerat system för 3D-kartläggning och robotnavigering.
Är bara iLife-dammsugare drabbade?
Nej, samma hårdvara används även av märken som Xiaomi, Wyze, Viomi och Proscenic.
Vad kan jag göra för att skydda mig?
Placera alla smarta prylar på ett separat Wi-Fi-nätverk (IoT-zon) och blockera utgående trafik vid behov.