Robot Süpürgede Şok Güvenlik Açığı: 24 Ülkede 7 Bin Kameraya Yanlışlıkla Erişim Sağlandı

Akıllı ev teknolojilerinin yaygınlaşmasıyla birlikte güvenlik açıkları da daha kritik hale geliyor. Son yaşanan olay ise kameralı robot süpürgelerde veri güvenliği tartışmasını yeniden gündeme taşıdı. Yazılım mühendisi Sammy Azdoufal, yeni aldığı robot süpürgeyi oyun kumandasıyla kontrol etmek isterken farkında olmadan 24 ülkeden yaklaşık 7 bin cihaza erişim sağlayabildi.

Olayın merkezinde ise Çinli teknoloji devi DJI tarafından üretilen robot süpürge bulunuyor.

Oyun Kumandası Denemesi Küresel Güvenlik Açığını Ortaya Çıkardı

Sammy Azdoufal, robot süpürgesini klasik mobil uygulama yerine oyun kumandasıyla yönetebilmek için yapay zeka destekli bir kodlama asistanı kullanarak özel bir uygulama geliştirdi. Cihazın şirket sunucularıyla nasıl iletişim kurduğunu inceleyen mühendis, bağlantı sırasında ciddi bir yetkilendirme açığı fark etti.

Sistemden kendi cihazı için aldığı erişim anahtarının yalnızca kendi robotuyla sınırlı olmadığını gören Azdoufal, bu anahtar sayesinde başka kullanıcıların cihazlarına da erişim sağlanabildiğini tespit etti.

24 Ülkede 7 Bin Cihaza Erişim

Yapılan incelemede yaklaşık 24 farklı ülkede bulunan 7 bin civarında robot süpürgeye erişimin mümkün olduğu ortaya çıktı. Üstelik bu erişim:

• Kamera görüntülerine
• Gerçek zamanlı ses kayıtlarına
• Seri numaralarına
• Batarya durumuna
• Evlerin detaylı kat planlarına
• IP adresleri üzerinden yaklaşık konum bilgilerine ulaşılmasını sağlıyordu.

Azdufal, herhangi bir sisteme bilinçli olarak izinsiz girmediğini ve açığın tamamen teknik bir zafiyetten kaynaklandığını savundu.

Güvenlik Kodu Atlanabiliyor Muydu

Yapılan teknik analizlere göre cihazın güvenlik kodu mekanizması tamamen devre dışı bırakılabiliyordu. Normal şartlarda robot süpürgenin kameralarına erişim için cihaz eşleştirme ve kimlik doğrulama gerekiyor. Ancak söz konusu açık nedeniyle eşleştirme yapılmadan dahi kamera akışına ulaşmak mümkün hale gelmişti.

Bu durum, kameralı ve mikrofonlu akıllı ev cihazlarının ne kadar hassas bir güvenlik altyapısına ihtiyaç duyduğunu bir kez daha gözler önüne serdi.

DJI Açığı Kabul Etti

Olayın kamuoyuna yansımasının ardından DJI tarafından resmi açıklama yapıldı. Şirket sözcüsü, robot süpürgelerde arka uç yetkilendirme doğrulama sorunu bulunduğunu kabul etti.

Açıklamada, güvenlik açığının ocak ayı sonunda tespit edildiği ve 8 ile 10 Şubat tarihlerinde yayınlanan iki ayrı güncellemeyle sorunun giderildiği belirtildi. Güncellemelerin otomatik olarak cihazlara yüklendiği ve kullanıcıların ek işlem yapmasına gerek olmadığı ifade edildi.

Sorun MQTT Tabanlı İletişimden Kaynaklandı

Şirket tarafından yapılan açıklamaya göre açık, MQTT tabanlı cihaz sunucu iletişim protokolünü etkiliyordu. Bu protokol, cihaz ile sunucu arasındaki veri alışverişini sağlıyor. Yetkilendirme doğrulamasındaki eksiklik nedeniyle teorik olarak yetkisiz erişim mümkün hale gelmişti.

Şirket ayrıca tespit edilen vakaların büyük kısmının güvenlik araştırmacılarının kendi cihazları üzerinde yaptığı testlerden kaynaklandığını savundu.

Akıllı Ev Cihazlarında Gizlilik Riski Büyüyor

Uzmanlara göre bu olay yalnızca tek bir markayla sınırlı bir problem değil. Kameralı ve mikrofonlu robot süpürgeler, akıllı kapı zilleri, bebek kameraları ve güvenlik sistemleri gibi IoT cihazları yeterli siber güvenlik önlemleri alınmadığında ciddi gizlilik riskleri oluşturabiliyor.

Bu tür cihazlar:

• Ev içi görüntü kaydı yapabiliyor
• Mikrofon aracılığıyla ses toplayabiliyor
• Ev planını detaylı şekilde haritalayabiliyor
• Konum verisi üretebiliyor

Dolayısıyla oluşabilecek bir güvenlik açığı, yalnızca dijital değil fiziksel güvenliği de tehdit edebiliyor.

Kullanıcılar Ne Yapmalı

Uzmanlar akıllı ev cihazı kullananlara şu önerilerde bulunuyor:

• Cihaz yazılımlarını düzenli olarak güncellemek
• Varsayılan şifreleri değiştirmek
• İki faktörlü kimlik doğrulama kullanmak
• Güvenilmeyen üçüncü parti uygulamalardan kaçınmak
• Modem güvenliğini güçlendirmek

Bu basit önlemler, olası siber saldırılara karşı ciddi koruma sağlayabilir.

Sık Sorulan Sorular

Robot süpürge kameraları gerçekten uzaktan izlenebilir mi

Güvenlik açığı bulunan sistemlerde teorik olarak mümkündür. Ancak üreticiler bu tür açıkları tespit ettiğinde genellikle hızlı şekilde güncelleme yayınlar.

Güncelleme yapılmazsa risk devam eder mi

Evet. Yazılım güncellemeleri yüklenmediği takdirde güvenlik açıkları devam edebilir. Bu nedenle otomatik güncellemelerin açık olması önemlidir.

Sadece DJI cihazları mı risk altında

Hayır. Tüm IoT cihazları yeterli güvenlik önlemi alınmadığında benzer riskler barındırabilir.

Ev planlarının erişilebilir olması neden tehlikeli

Ev planları, yaşam alanının yapısal detaylarını içerdiği için kötü niyetli kişiler açısından ciddi güvenlik riski oluşturabilir.

Sonuç

Sammy Azdoufal’ın basit bir kontrol denemesi sırasında ortaya çıkardığı bu güvenlik açığı, akıllı ev teknolojilerinin beraberinde getirdiği riskleri gözler önüne serdi. Özellikle kameralı ve mikrofonlu cihazların güçlü bir siber güvenlik altyapısıyla korunması artık bir tercih değil zorunluluk haline geldi.

Şirket tarafından açığın giderildiği açıklansa da bu olay, kullanıcıların dijital mahremiyet konusunda daha bilinçli hareket etmesi gerektiğini bir kez daha ortaya koydu.