Un hacker français prend la main sur 7000 aspirateurs

Sami Azdoufal, un français de 32 ans qui manifestement aime que son sol soit propre et qui est malin se dit "Mais au fait, c'est assez voilà, c'est assez pénible de passer la spi et si je le connectais à ma manette de PS5, sa PlayStation ? Idée innovante." Alors l'aspirateur robot en question, on va le voir, un DJI Romo.

Alors, on est sur du très très haut de gamme, il coûte 1300 €. On le commande normalement via une application smartphone. Alors Sami en bon geek, il bidouille, il arrive à connecter sa manette à son aspirateur.

Il analyse grâce à Lia comment son aspirateur communique avec les serveurs de DJI et c'est là qu'il fait une découverte étonnante comme il le dit lui-même, une faille plutôt flippante. Laquelle ? Alors et bien il l'explique sur X.

En s'abonnant à une route ultra commune sur le broker MQTT de IGI, on remarque qu'il n'y a pas de ACL par device. Bah j'allais vous le dire, vous avez rien compris. [rires] Si si.

Ouais. Sous-titre sous-titre pour les autres. Sami découvre qu'en gros avec sa manipe, il a non seulement accès aux données de son aspirateur, bon mais aussi à celle de 7000 autres aspirateurs dans 24 pays.

Alors vous allez me dire "Bon, les données d'un aspirateur, on s'en fiche." Oui, sauf qu'on ne parle pas de n'importe quel aspirateur. DJI à l'origine, c'est une marque chinoise de drone qui a intégré dans son aspir robot toutes les technologies qu'on retrouve dans un drone.

Donc des caméras, des micros, un outil qui permet de cartographier ultra précisément l'environnement. Bref, Sami s'est retrouvé à pouvoir regarder et écouter en direct les flux vidéos des aspirateurs, obtenir les plans des maisons et même la position géographique de chaque robot grâce à leurs adresses IP. Vous voyez le léger problème.

Le type va être recruté par la DGSE, c'est sûr. Oui. Ou par Poutine éventuellement.

Il a alerté l'entreprise. Bah oui. Sami est un geek honnête.

Il me l'a dit lui-même au téléphone. Oui, parce que là, c'est du journalisme d'investigation. Je vous propose Renault.

Bravo ! DJI a depuis corrigé la faille, minimise l'incident, assure que ce cas est extrêmement rare. Reste que ça interroge he sur la sécurité de tous nos appareils connectés du quotidien qui nous dit que la CIA ou que les Russes ne nous espionnent pas via notre robot cuiseer.

En tout cas amusé par l'emballement médiatique, Sami se fait désormais appeler The Vacuum Guy, littéralement [rires] le gars des aspirateurs. Apparemment, plein d'entreprises veulent qu'ils testent la sécurité de leur appareil. Quant au mot de la fin, je laisse parce que c'est magnifique.