ロボット掃除機「LG Hom-Bot」に盗撮を許すぜい弱性--LGの各種スマート家電が標的

　サイバーセキュリティ企業のCheck Point Software Technologiesは、LGエレクトロニクスの家電製品向けスマートフォン用アプリ「LG SmartThinQ」に、SmartThinQ対応デバイスの不正遠隔操作を許してしまうぜい弱性「HomeHack」が存在していたと発表した。LGは、Check Pointからの情報提供を受け、すでに問題を修正済み。

スマート家電を不正に遠隔操作（出典：Check Point）

　HomeHackが存在していたのは、SmartThinQのモバイルアプリとクラウドアプリ。このぜい弱性を悪用すると、クラウドアプリにリモートログインして正規ユーザーのアカウントを乗っ取り、SmartThinQに対応しているそのユーザーの家電製品を不正に遠隔操作できてしまう。該当アカウントにひも付けされた家電デバイスは、冷蔵庫やオーブン、食器洗い機、洗濯機、衣類乾燥機、エアコン、ロボット掃除機など、あらゆるものが攻撃対象になる。

　Check Pointの研究者はこのぜい弱性を使い、まず偽のLGアカウントを作り、それを足がかりに正規ユーザーのLGアカウントを乗っ取り、LGのスマートアプライアンスをリモートコントロールできることを示した。例えば、攻撃者は食器洗い機や洗濯機の電源を勝手に入れたりできる。また、ロボット掃除機「Hom-Bot」が攻撃されると、セキュリティ機能「HomeGuard」が悪用され、Hom-Botの搭載カメラで自宅のようすを覗かれたり、盗撮されたりする。

セキュリティ機能「HomeGuard」が悪用される（出典：LGエレクトロニクス）

　LGに対し、Check Pointは7月31日にHomeHackの存在を通知した。これを受け、LGは問題を調査し、修正を施したSmartThinQアプリのバージョン「1.9.20」を9月29日にリリース。記事執筆時点（日本時間10月31日12時）で提供されているバージョンは、Android版、iOS版のいずれも「1.9.24」。