DJIが販売するロボット掃除機「DJI Romo」において、サーバーのアクセス制限にミスがあり、世界中の機体のカメラ映像やマッピングデータが第三者から見えてしまう状態だったことが明らかになりました。現在はメーカーのアップデートによって主な問題は修正されていますが、スマート家電をクラウドに繋ぐことの危険性を示すニュースです。この記事では、ネットワーク通信の技術的な背景と、今回の騒動からわかる製品の実態について客観的に解説します。
サーバー側のミスで約7,000台のデータが筒抜けになった経緯
今回の脆弱性は、あるユーザーが自分のDJI Romoをゲームパッドで操作しようと、通信の仕組みを調べていた際に見つかりました。自分の機器のアクセスキーを使ってDJIのサーバーに繋いだところ、世界中で動いている約7,000台のDJI Romoや、ポータブル電源「DJI Power」を含む1万台以上のデータにアクセスできる状態でした。
これは、DJIのMQTTサーバーにおいて、誰がどのデータを見られるかという制限が正しく設定されていなかったことが原因です。その結果、他人の掃除機のシリアルナンバーや掃除の状況、正確な間取り図のデータだけでなく、セキュリティPINをすり抜けてライブカメラの映像やマイクの音声まで勝手に見聞きできる状態になっていました。
通信の暗号化（TLS）だけでは防げないスマート家電の弱点
DJIは今回の件について、機体とサーバー間の通信はTLSという技術で常に暗号化されており、データがそのままの状態でやり取りされているわけではないと説明しています。しかし、サーバー側に正規のユーザーとして入り込んでしまえば、通信経路が暗号化されていても、中身のデータは誰でも読める状態で置かれていました。
外出先からスマートフォンで操作できる便利さの裏には、こうしたクラウドサーバーを経由する仕組みが欠かせません。しかし、過去にEcovacsやDreameといった他社のロボット掃除機でもカメラ映像への不正アクセスが報告されているように、サーバー内部でデータを厳重に切り離して管理していなければ、重大なプライバシー侵害を引き起こす根本的な弱点となります。
今後のアップデートによる安全性確保までは慎重な判断が求められる1台
DJIは2月8日と10日にサーバー側のシステムを修正し、他人のデータが見えてしまう問題を遮断しました。しかし、セキュリティPINなしで自身のカメラ映像が見えてしまうなど、いくつかの問題はまだ残っており、今後数週間以内に修正される予定です。
DJI Romoが備える空間を把握する能力や本体の作り込みは、同価格帯の製品の中でも目立っています。とはいえ、カメラやマイクを搭載し、クラウドに繋がる仕組みである以上、メーカーのサーバー管理に不備があれば、自宅のプライバシーが直接脅かされます。残された脆弱性がすべて修正され、メーカー側から安全性が明確に示されるまでは、利用を見送るのが賢明な判断となるはずです。
