有不明的黑客利用從吸塵機械人Ecovacs上利用新發現的安全漏洞，不但入侵攝影機進行即時監察，甚至發出噪音滋擾，有別於過往的黑客行為，單純對受害者惡作劇，打擾平常的安寧生活。
吸塵機械人的運作
現代的吸塵機械人其實是一台功能全面的電腦(附有車輪)，通常以Linux作為操作系統，具備一定運算能力的多核ARM處理器，相當容量的RAM和記憶體，以及Wi-Fi和藍芽無線功能，當然還有不可缺少的紅外線、光學雷達、動態和攝影機，部份型號更具備咪高峰。基本上所有型號的吸塵機械人都會長期連線，與製造商的雲端設施聯繫，進行大量的通訊，而且過程中收集大量數據。
Ecovacs吸塵機械人和剪草機的安全漏洞
Ecovacs吸塵機械人和剪草機的安全漏洞在2024年8月首次曝光，兩位研究人員在DEF CON 32上進行了逆向工程入侵Ecovacs機械人，在他們的對談中，二人形容有幾種方法入侵Ecovacs吸塵機械人和其用戶當作遙控的流動應用程式，更發現潛在黑客可以存取機械人內建的攝影機和咪高峰。可能的方法有二，第一是應用程式使用不安全的網絡，攻擊者可以攔截身份驗證的token來與機械人溝通，第二，即使理論上攝影機的功能受到機主設定的密碼保護，實際上是在應用程式端進行驗證，所以能夠繞過它。
研究人員也提到存取機械人操作系統的root，可以經由藍芽發送惡意內容到機械人，部份Ecovacs型號會在定期重啟後啟動該功能，其他型號則長時間啟動，儘管加密就能加以防護，但Ecovacs在所有裝置使用一條相同的靜態金鑰。基於以上的知識，入侵者可以在具備漏洞的Ecovacs吸塵機械人上取得操作系統的root特權，從最大距離50米之內進行入侵，至於剪草機由於具備更強的藍芽功能所以遠達100米。理論上黑客可以創建一個network-worm自動感染世界上任何地方的機械人，雖然研究人員已通知發現的安全漏洞，但廠方並沒有回覆，公司嘗試堵塞某些漏洞，可惜成效不佳，而且忽略了最嚴重的安全漏洞。
真實入侵個案
根據報導，有數個美國城市的Ecovacs吸塵機械人用戶受到黑客攻擊，並因而受到滋擾，其中在明尼蘇達州的個案中，機械人會私自活動和發出奇怪聲響，其用戶在Ecovacs應用程式上發現某人正存取攝影機和遙控功能，即使更換密碼、重啟機械人，但很快機械人又再被入侵，更通過掦聲器發出種施歧視的言論，用戶在無計可施之下唯有關閉機械人，把它丟到車房角落。
另一個在加州的個案，Ecovacs吸塵機械人更追著戶主的狗，而且破口大罵，第三個個案在德州，機械人隨處走動並辱罵其主人。受影響的準確人數未明，其中一個原因是可能用戶自己也不知道，因為黑客可能靜靜偷竊而不引起可疑。
防範吸塵機械人遭入侵
答案簡單直接，不能，很不幸地因為沒有萬用的方法去防範吸塵機械人被入侵，例如有些型號理論上用戶可以自己入侵機械人，把裝置從廠商的雲端上脫離，不過過程複雜和費時，一般用戶都不會嘗試。其實IoT裝置最嚴重的問題是很多廠商對保安沒有足夠的關注，他們經常採取駝鳥態度，甚至拒絕回應研究人員的善意報告問題。
為了降低風險，嘗試在購買前搜尋廠商對保案的方針，市面上有廠商有效地保護她們的商品，而保持安裝最新勒體，新版本通常至少移除讓黑客有機可乘的安全漏洞。謹記機械人連著家中的Wi-Fi，一旦被入侵就可能成為攻擊其他裝置的踏腳石，所以不妨考慮把IoT裝置把IoT裝置轉移至訪客網絡，並盡可能在所有裝置安裝可靠的防護。
資料來源：Kaspersky Blog
