Самми случайно получил админку к 7000 чужих акаунтов владельцев таких пылесосов по всему миру. Он мог видеть все: карты чужих квартир, видосы с камеры и звук с микрофона в реальном времени, IP-адреса.
Как так вышло? Его приложение постучалось в облако DJI, а сервер решил: «О, свой! Держи права рута на все девайсы». Классическая ошибка авторизации на бэкенде.
Самми, конечно, говорит, что ничего не открывал. Сразу обратился в компанию. Они залатали дыру и отсыпали ему 30к дорраров в качестве награды.
Но его жена после этого заклеила камеру на их собственном пылесосе скотчем. Мало ли 🤣
Как думаете, он реально не заглянул в админки?
😁 — не, он же этичный хакер, у него кодекс
😊 — заглянул 100%, там же целое реалити-шоу можно было посмотреть