Een softwareontwikkelaar heeft bewijs gevonden dat de fabrikant van zijn robotstofzuiger zijn apparaat op afstand kon uitschakelen

Een softwareontwikkelaar heeft overtuigend bewijs gevonden dat de fabrikant van zijn robotstofzuiger, iLife, het apparaat op afstand kon uitschakelen. De ontdekking volgde nadat de ontwikkelaar had vastgesteld dat de stofzuiger niet langer verbinding maakte met de servers van de fabrikant. Telkens wanneer hij het netwerkverkeer naar de servers blokkeerde – om te voorkomen dat persoonlijke gegevens werden doorgestuurd – stopte de robot volledig met functioneren.

De ontwikkelaar besloot daarop de interne software van de robotstofzuiger te onderzoeken. Via de USB-poort kreeg hij toegang tot het systeem, waar hij ontdekte dat Android Debug Bridge (ADB) standaard was ingeschakeld en bovendien niet met een wachtwoord was beveiligd. Hoewel de verbinding aanvankelijk na enkele seconden werd verbroken, wist hij die beperking te omzeilen en volledige toegang te krijgen.

In de logbestanden van het apparaat vond hij vervolgens het bewijs voor de externe uitschakeling. Daarin stond een bericht met de melding “Handle message! cmd_id 501 RS_CTRL_REMOTE_EVENT” — een opdracht die erop wees dat de robot een commando van buitenaf had ontvangen om zijn werking te staken. Dit gebeurde telkens nadat het apparaat geen gegevens meer naar de fabrikant kon verzenden.

Tijdens zijn analyse ontdekte de ontwikkelaar ook dat de iLife A11 gebruikmaakt van Google Cartographer, geavanceerde software die doorgaans wordt toegepast in professionele mapping-systemen. Hierdoor kan de robot zeer nauwkeurig een plattegrond van de woning opstellen. Tegelijkertijd merkte hij echter dat de stofzuiger niet alleen kaartgegevens, maar ook wifi-wachtwoorden en andere gevoelige netwerkgegevens naar de servers van iLife verstuurde. Om zijn privacy te beschermen blokkeerde hij al het uitgaande verkeer, wat direct leidde tot het onklaar raken van het apparaat.

Wanneer hij de stofzuiger vervolgens naar de klantenservice stuurde, werkte die na terugkomst telkens weer een paar dagen. Waarschijnlijk hadden de medewerkers de firmware opnieuw geïnstalleerd of een reset uitgevoerd, waardoor de verbinding tijdelijk werd hersteld totdat de ontwikkelaar het dataverkeer opnieuw blokkeerde.

De fabrikant heeft tot op heden geen officiële verklaring of reactie gegeven op deze bevindingen. De ontwikkelaar heeft inmiddels zelf de software aangepast en een volledig lokaal functionerende versie van de robot gecreëerd die geen gegevens meer naar externe servers verstuurt. Het apparaat werkt nu volledig onafhankelijk, zij het dat de garantie hierdoor vervallen is.

Deze zaak werpt nieuw licht op de kwetsbaarheid van slimme huishoudelijke apparaten en toont aan hoe belangrijk transparantie, lokale controle en privacybescherming zijn bij de ontwikkeling en het gebruik van internet-verbonden technologie.

Door: Drifter