Wenn dein Saugroboter zum rassistischen Haustierjäger wird: Hackerangriff auf Deebot-X2-Omni
Zwischen Januar und Mai 2024 hat sich ein Hacker in mehreren Städten der USA Zugang zu den Deebot-X2-Omni-Staubsaugerrobotern von Ecovacs, die auch in Deutschland für rund 1.000 EUR erhältlich sind, verschafft. Wie die australische ABC News berichtet, wurden die Saugroboter dazu benutzt, Haustiere zu jagen und deren Besitzer:innen mit rassistischen Beleidigungen zu belegen.
Staubsauger werden zum fluchenden Teenager
Wie verschiedene Betroffene berichten, begann die feindliche Übernahme damit, dass aus dem Lautsprecher des Roboters ein Geräusch kam, „wie ein gestörtes Radiosignal oder so etwas“. Ein Betroffener erzählte dem Sender, dass auch das Zurücksetzen des Passworts nebst nachfolgendem Neustart des Ecovacs nichts gebracht habe.
Vielmehr habe der in der Folge eindeutig eine Stimme – wohl die eines Teenagers – gehabt, die Beleidigungen schrie. In anderen Fällen wurden Haustiere verfolgt und beschimpft.
Hersteller: Passt besser auf eure Zugangsdaten auf
Der Hersteller hat das Problem inzwischen bestätigt und es als „ein Credential-Stuffing-Ereignis identifiziert“. Die Angriffe seien alle von der gleichen IP aus verfolgt. Die habe man inzwischen gesperrt. Laut Ecovacs habe man „keine Beweise dafür gefunden“, dass Benutzernamen und Passwörter vom Angreifer gesammelt wurden.
Damit spielt der Hersteller das Problem im Grunde an die Besitzer:innen zurück. Denn ein Credential-Stuffing-Ereignis ist eine Art Cyberangriff, bei dem gestohlene Zugangsdaten (wie Benutzername und Passwort) automatisiert verwendet werden, um sich bei verschiedenen Online-Diensten einzuloggen. Diese Angriffe basieren auf der Tatsache, dass viele Menschen dieselben Zugangsdaten auf mehreren Plattformen verwenden. Credential-Stuffing ist besonders gefährlich, weil es schwer zu entdecken ist. Denn technisch gesehen handelt es sich um legitime Anmeldeversuche – nur mit gestohlenen Daten.
Forscher:innen hatten bereits im vergangenen Jahr einen Fehler nachgewiesen, der es ihnen ermöglichte, die PIN-Eingabe des Deebot X2 zu umgehen, um so Zugriff auf den Staubsauger zu erhalten. Ecovacs behauptet, dieses Problem behoben zu haben. Mit einem kommenden Update im November soll die Sicherheit weiter verbessert werden.
