Ecovacs-hackere stjal 2 TB data: Sjekk om du eier en av robotene

Angrepet ble varslet tidligere denne uken, da SpaceBears la ut Ecovacs på lekkasjesiden sin med en kort melding om mengden stjålet data. Ecovacs er en av verdens største produsenter av robotstøvsugere og selger blant annet Deebot-modellene og vindusvaskeren Winbot i norske nettbutikker.

SpaceBears opererer som en dobbelt-utpressingsgruppe som både krypterer ofrenes systemer og truer med å publisere stjålne data hvis løsepengene ikke betales. Gruppen dukket opp våren 2024 og har siden rammet godt over hundre organisasjoner på tvers av flere land, primært i USA og Europa.

Hva som ligger i de to terabytene, er ikke offentlig kjent. Ecovacs har ikke kommentert hendelsen, og det er foreløpig uklart om kundedata fra europeiske brukere er på avveie.

Tidligere sikkerhetshull svekker tilliten

For norske eiere er innbruddet ekstra bekymringsfullt på grunn av Ecovacs sin historikk. På sikkerhetskonferansen DEF CON 32 i august 2024 viste forskerne Dennis Giese og Braelynn Luedtke at flere av selskapets roboter kunne kapres over Bluetooth, og at angripere kunne slå på kamera og mikrofon eksternt.

Sårbarheten skyldtes at Ecovacs brukte én statisk nøkkel for alle enheter, noe som ga angripere fullt fotfeste når den først var avslørt. Bluetooth-tilkoblingen kunne ifølge forskerne kapres fra opptil rundt 130 meter (450 fot) unna. Robotklipperne har Bluetooth aktiv kontinuerlig, mens støvsugerne kun har det på i 20 minutter etter oppstart.

I månedene som fulgte rapporterte amerikanske eiere om reelle kapringer. I Minnesota begynte en Deebot X2 å bevege seg av seg selv mens den ropte rasistiske slagord fra høyttaleren, og lignende hendelser ble dokumentert i California og Texas.

Hva bør du gjøre nå?

Forskerne kritiserte Ecovacs for å være lite imøtekommende da feilene ble varslet, og selskapet sa den gang at brukerne ikke trengte å bekymre seg «overdrevent». For eiere av en Deebot eller Winbot er det likevel fornuftig å ta noen grep i kjølvannet av den nye lekkasjepåstanden.

Bytt passord på Ecovacs-kontoen, slå på tofaktorautentisering der det er mulig, og vær oppmerksom på phishing-eposter som utgir seg for å komme fra selskapet. Hvis roboten din har kamera eller mikrofon, kan det også være verdt å vurdere om enheten skal kobles fra wifi når den ikke er i bruk.

Ecovacs vil normalt være forpliktet til å varsle berørte kunder etter europeisk personvernlovgivning hvis personopplysninger er på avveie. Foreløpig har selskapet ikke sendt ut noen slik melding.