هارشانکار نارایانان (Harishankar Narayanan)، مهندس و برنامه نویس کامپیوتر، جزییات عجیبی را درباره جارو رباتیک 300 دلاری خود منتشر کرد: این دستگاه داده های خصوصی و نقشه سه بعدی خانه اش را به سرورهای شرکت سازنده ارسال می کرد و زمانی که او جلوی این کار را گرفت، شرکت دستگاه او را از راه دور از کار انداخت.

هارشانکار نارایانان در وبلاگ خود توضیح می دهد که حدود یک سال از جارو رباتیک iLife A11 خود استفاده می کرده تا اینکه کنجکاوی مهندسی او گل می کند. او می نویسد: من کمی پارانویید هستم، البته از نوع خوبش. بنابراین تصمیم گرفتم ترافیک شبکه آن را مانند هر دستگاه به اصطلاح هوشمند دیگری زیر نظر بگیرم.

فقط چند دقیقه طول کشید تا او متوجه جریان پایداری از داده ها شد که به سرورهایی در کشور دیگری ارسال می شد. او می گوید: جارو رباتیک من دائماً با سازنده اش در ارتباط بود و لاگ ها و داده هایی را ارسال می کرد که من هرگز با اشتراک گذاری آنها موافقت نکرده بودم.

نارایانان تصمیم گرفت جلوی این ارسال داده را بگیرد. او می گوید: آن زمان بود که اولین اشتباهم را مرتکب شدم اینکه تصمیم گرفتم آن را متوقف کنم. او فقط آدرس IP مربوط به ثبت لاگ ها را مسدود کرد و به سایر ارتباطات مانند به روزرسانی های سیستم عامل اجازه داد به کار خود ادامه دهند.

جارو برای چند روز به تمیزکردن ادامه داد، تا اینکه یک روز صبح دیگر روشن نشد. نارایانان دستگاه را برای تعمیر فرستاد. مرکز خدمات به او اطمینان داد که این دستگاه سالم است. دستگاه را پس فرستادند و چند روزی نیز در خانه کار کرد. سپس دوباره جارو خاموش شد. این چرخه چندین بار تکرار شد تا اینکه درنهایت مرکز خدمات اعلام کرد گارانتی دستگاه تمام شده و از پذیرش مجدد آن خودداری کرد.

حالا که گارانتی باطل شده بود، نارایانان دلیلی نداشت که دستگاه را برای یافتن پاسخ باز نکند. او پس از بازکردن دستگاه و مهندسی معکوس آن، متوجه شد که با یک کامپیوتر کامل (مبتنی بر لینوکس) طرف است.

او پس از ساعت ها بررسی بُردها و سنسورها متوجه شد رابط دیباگ اندروید (ADB) دستگاه کاملاً باز و بدون هیچ رمز عبوری بود. او می نویسد: در چند ثانیه، دسترسی کامل روت را داشتم. بدون هک، بدون اکسپلویت.

نارایانان پس از فعال کردن دسترسی SSH و بررسی های بیشتر فهمید که دستگاه درحال اجرای Google Cartographer بود؛ یک سیستم حرفه ای نقشه برداری SLAM که برای ساخت یک نقشه سه بعدی زنده از خانه او استفاده می شد و این داده ها را برای شرکت سازنده ارسال می کرد.

در اسکریپت ها نیز او متوجه شد که یک اسکریپت تغییر یافته است تا از اجرای برنامه اصلی جلوگیری کند. نارایانان می گوید: یک نفر (یا یک چیز) از راه دور فرمان خاموشی این جارو را صادر کرده بود. او تغییر اسکریپت را برعکس و دستگاه را ریبوت کرد؛ جارو فوراً به زندگی بازگشت.

نارایانان این اقدام را تلافی شرکت در برابر مسدودکردن جمع آوری داده هایشان می داند. او هشدار می دهد که این فقط یک برند متخلف نیست. سخت افزار داخلی این جاروبرقی (3irobotix CRL-200S) در دستگاه های ده ها شرکت دیگر ازجمله شیائومی، Wyze ،Viomi و Proscenic نیز استفاده می شود و همگی به طور بالقوه در برابر همین سوءاستفاده آسیب پذیر هستند.