Robot aspirapolvere hackerati insultano i proprietari

Casi di robot aspirapolvere hackerati sono stati denunciati negli Stati Uniti. Questo tipo di attacchi rivelano vulnerabilità preoccupanti che interessano gli elettrodomestici intelligenti e gli ecosistemi domestici IoT, strumenti che sono sempre più presenti nelle nostre case, perché semplificano la vita quotidiana.

Spesso però, poiché sono connessi a internet e non hanno grandi protezioni su cui contare, queste macchine rappresentano un rischio concreto. I casi che raccontiamo in questo articolo, diffusi dalla stampa statunitense e in particolare da ABC News, non rappresentano solo un brutto scherzo di cattivo gusto. I robot hanno insultato i loro proprietari e sono diventati delle vere e proprie spie nelle mani dei criminali informatici.

Pensiamo a quante informazioni preziose finiscono nelle mani sbagliate quando un elettrodomestico smart viene hackerato. Se nessuno si accorge della violazione, robot e altri elettrodomestici intelligenti possono diventare delle vere e proprie spie silenziose. In passato, ad esempio, un episodio simile ha coinvolto un aspirapolvere Roomba. L’elettrodomestico ha scattato e diffuso una foto intima di una persona in bagno.

Il caso dei robot aspirapolvere hackerati

Il modello “sotto accusa” si chiama Ecovacs Deebot X2, dotato di altoparlanti. I numerosi robot aspirapolvere hackerati sono stati manipolati dai cybercriminali per trasmettere insulti e parole oscene. Ecovacs, marchio cinese molto noto negli USA e in Europa quando si parla di robotica di consumo, ha confermato l’accaduto.

Il racconto di Daniel Swenson

Un esempio concreto di questo attacco che ha coinvolto gli Ecovacs Deebot X2 è quello di Daniel Swenson, avvocato del Minnesota. L’uomo, inizialmente, ha notato una stranezza: una voce estranea proveniva dal suo elettrodomestico. Successivamente ha scoperto, tramite l’app di controllo, che qualcuno stava accedendo al feed della telecamera del robot aspirapolvere hackerato.

Nel tentativo di proteggere il sistema, il signor Swenson ha cambiato dal suo smartphone la password di accesso all’app. Purtroppo non è servito a niente. L’attacco, anzi, è proseguito, culminando in insulti razzisti ai membri della famiglia. Comprensibilmente spaventato, Swenson ha disattivato l’aspirapolvere e lo ha chiuso in una stanza, eliminando poi l’applicazione. 

Altri attacchi sul territorio

Lo stesso giorno, il 24 maggio scorso, un altro Deebot X2 è “impazzito” e ha iniziato a urlare commenti offensivi e rincorrere il cane dei proprietari, che abitano nella zona di Los Angeles. Mentre pochi giorni dopo, nella località di El Paso, un robot Ecovacs ha cominciato a insultare pesantemente il suo proprietario.

Nel momento in cui scriviamo nessuno ha rivendicato l’attacco e non si sa nulla dei responsabili. Anche se alcune vittime hanno dichiarato che la voce proveniente dall’altoparlante sembrava quella di un ragazzino o comunque di un giovane uomo.

Cosa è successo ai robot aspirapolvere hackerati

Secondo Ecovacs, gli hacker avrebbero ottenuto le credenziali degli utenti attraverso attacchi di “credential stuffing”, usando dati rubati nel corso di altre violazioni. Tuttavia, anche con una password valida, il controllo remoto e l’accesso al feed video dovrebbero essere protetti da un codice PIN. Cosa che, teoricamente, dovrebbe impedire l’accesso non autorizzato. Nel 2023, però, due ricercatori esperti in cybersicurezza avevano già dimostrato come sia possibile aggirare questa protezione, facendo credere al server che il codice PIN sia stato inserito correttamente.

La reazione di Ecovacs

Ecovacs ha dichiarato di aver risolto questa vulnerabilità, anche se c’è chi ha sollevato dubbi sulla reale efficacia dell’intervento. L’azienda avrebbe inviato comunicazioni ai clienti invitandoli a cambiare le password prima dei casi che abbiamo raccontato. I proprietari dei robot aspirapovere hackerati però, tra cui Swenson, hanno sottolineato di non aver ricevuto comunicazioni sul problema del codice PIN. Ecovacs ha promesso un aggiornamento di sicurezza per il prossimo novembre.

Pulizie poco sicure?

Gli attacchi informatici ai robot aspirapolvere evidenziano la necessità di maggiori protezioni per i dispositivi domestici connessi a internet. Fino a quando non verranno rilasciati gli aggiornamenti di sicurezza promessi, sarebbe meglio disattivare del tutto gli elettrodomestici a rischio per evitare problemi.

Il problema però potrebbe essere molto più esteso e coinvolgere altri marchi e modelli. Questo tipo di accesso non autorizzato solleva gravi interrogativi sulla sicurezza di questi dispositivi.