Посредством Bluetooth пользователь может взаимодействовать с противоугонной системой, круиз-контролем, эко-режимом и обновлением прошивки скутера. На первый взгляд доступ к этим функциям защищен паролем, однако в ходе исследования выяснилось, что пароль проверяется только на стороне приложения, но сам скутер не отслеживает состояние аутентификации.
Таким образом, к нему могут получить доступ третьи лица. Авторы исследования даже написали специальное приложение, которое пеленгует ближайшие скутеры Xiaomi M365 и отключает на них сигнализацию. При этом «радиус поражения» скутеров составляет до 100 метров.
Кроме отключения сигнализации скутер можно полностью заблокировать, поставить на него вредоносную прошивку и получить полный контроль над девайсом. Выбранный скутер можно заставить внезапно остановиться или очень быстро разогнаться, можно даже полностью отключить тормоза. Представьте, к каким увечьям все это может привести.
В официальном комментарии Xiaomi сообщает, что ей известно об уязвимости самоката Mi Electric Scooter. Компания ведет работу над ее устранением, а также удалением всех неоригинальных приложений. Скоро пользователи смогут получить обновление по воздуху, которое должно решить проблему.
18 марта 2019 года Xiaomi выпустила OTA-обновление прошивки (версия 1.5.1) для Mi Electric Scooter. Оно призвано устранить уязвимость, описанную выше в статье. Пользователям нужно установить последнюю версию приложения Mi Home / Xiaomi Home (Android версия 5.5.0 / iOS версия 4.13.101), чтобы получить новое обновление.
