วิศวกรหวังใช้จอย PS5 บังคับหุ่นยนต์ดูดฝุ่น DJI แต่ดันเจอช่องโหว่ในระบบ

Sammy Azdoufal วิศวกรซอฟต์แวร์ที่แค่อยากจะหาอะไรสนุกๆ ทำ ด้วยการหาวิธีใช้คอนโทรลเลอร์ PS5 มาบังคับหุ่นยนต์ดูดฝุ่นรุ่น DJI Romo ของตัวเองแทนการจิ้มหน้าจอมือถือ แต่ในระหว่างที่เขากำลังแกะรหัสระบบ Cloud เพื่อดึง Token ยืนยันตัวตนเจ้าของเครื่อง เขากลับพบว่าประตูหลังบ้านของ DJI นั้นเปิดอ้าซ่าจนเขาสามารถเข้าถึงหุ่นยนต์ดูดฝุ่นเครื่องอื่นๆ ได้อีกเพียบ

แทนที่ระบบจะอนุญาตให้เขาเข้าถึงได้แค่หุ่นยนต์ของตัวเอง ระบบหลังบ้านของ DJI กลับใจดีเกินเหตุ มอบสิทธิ์การเข้าถึงหุ่นยนต์ดูดฝุ่นรุ่นเดียวกันอีกกว่า 7,000 ตัวใน 24 ประเทศทั่วโลก ความน่ากลัวคือหุ่นยนต์รุ่นนี้มาพร้อมกล้องและไมโครโฟนในตัว ทำให้ Sammy Azdoufal สามารถส่องดูภาพสดๆ และฟังเสียงภายในบ้านของคนอื่นได้ทันที แถมยังเห็นแผนผังบ้านแบบ 2 มิติ รวมถึงเลข IP Address ที่ระบุพิกัดที่ตั้งของบ้านเหล่านั้นได้อย่างแม่นยำ

หลังจากพบช่องโหว่ระดับวิกฤตนี้ เขาเลือกที่จะไม่สวมบทแฮกเกอร์สายมืด แต่ตัดสินใจแจ้งเรื่องไปยังสำนักข่าว The Verge เพื่อประสานงานกับทาง DJI ให้รีบแก้ไขโดยด่วน ซึ่งทางบริษัทก็ได้ทำการปิดช่องโหว่ดังกล่าวไปเมื่อช่วงกลางเดือนกุมภาพันธ์ที่ผ่านมา แม้ตอนแรก DJI จะพยายามบอกว่าตรวจเจอเองภายในบริษัท แต่สุดท้ายก็ยอมรับในภายหลังว่าได้รับแจ้งจากนักวิจัยอิสระ และตัดสินใจมอบเงินรางวัลให้แก่เขา

เงินรางวัลที่ Sammy Azdoufal ได้รับนั้นสูงถึง 30,000 ดอลลาร์สหรัฐ หรือประมาณ 1,032,600 บาท (คำนวณจากอัตราแลกเปลี่ยน 1 ดอลลาร์ต่อ 34.42 บาท) หากลองหารเฉลี่ยตามจำนวนหุ่นยนต์ 7,000 ตัวที่เกือบถูกแฮก จะตกตัวละประมาณ 4.2 ดอลลาร์สหรัฐ หรือราว 144 บาทเท่านั้น ซึ่งถือว่าเป็นราคาที่ถูกมากเมื่อเทียบกับความเสียหายด้านชื่อเสียงที่ DJI อาจจะต้องเผชิญหากข้อมูลหลุดไปอยู่ในมือมิจฉาชีพ

ฝั่ง DJI ยืนยันว่าได้ทำการอัปเดตระบบความปลอดภัยแบบอัตโนมัติเรียบร้อยแล้ว โดยที่ผู้ใช้งานไม่ต้องขยับนิ้วทำอะไรเลย พร้อมทั้งขอบคุณนักวิจัยที่ช่วยชี้จุดบอดในครั้งนี้ แม้ว่าในอดีตบริษัทจะเคยมีประเด็นขัดแย้งกับนักวิจัยด้านความปลอดภัยคนอื่นๆ มาก่อน แต่เคสนี้ดูเหมือนจะจบลงด้วยดีพร้อมเงินก้อนโตในกระเป๋าของวิศวกรขี้สงสัยรายนี้

บทเรียนครั้งนี้เตือนให้รู้ว่าอุปกรณ์ Smart Home ที่เราใช้กันอยู่อาจกลายเป็นสายลับในบ้านได้ทุกเมื่อหากระบบหลังบ้านไม่แข็งแกร่งพอ สำหรับใครที่มี DJI Romo อยู่ที่บ้านก็สบายใจได้เพราะช่องโหว่นี้ถูกอุดไปเรียบร้อยแล้ว ส่วนใครที่อยากลองเอาจอย PS5 มาบังคับเครื่องใช้ไฟฟ้าในบ้านบ้าง ก็ระวังจะไปเจอขุมทรัพย์ (หรือความลับชาวบ้าน) เข้าให้แบบกรณีนี้