Japan: Hotelgäste über Service-Roboter beobachtbar

Die japanische Hotelkette HIS musste jetzt eingestehen, dass ihre Service-Roboter in den Hotelzimmern für Hacks anfällig waren – obwohl davor gewarnt wurde. Gab wohl eine Entschuldigung des Managements, wie das so in Japan üblich ist.

In Japan ist es hipp, dass Service-Roboter an allen möglichen Orten aufgestellt werden. Auch in Hotels sind diese allgegenwärtig – auch in den Gästezimmern. Und für Olympia 2020 tut man ja alles. Der Meldung hier entnehme ich, dass die Hotelkette H.I.S. weitere Henn na-Hotels in Japan (vier in Tokyo) mit solchen Robotern ausstatten möchte.

(Quelle: YouTube)

Obiges Video zeigt einen solchen Roboter im Empfangsbereich eines Hotels. Das ist nicht nur hipp, die Service-Roboter besitzen teilweise Mikrofon und Kamera, um auf Sprache reagieren und eine Gesichtserkennung durchführen zu können. In den Gästezimmern gibt es dann andere Service-Roboter, über die die Gäste Dienstleistungen abrufen können.

It has been a week, so I am dropping an 0day.

The bed facing Tapia robot deployed at the famous Robot Hotels in Japan can be converted to offer anyone remote camera/mic access to all future guests.

Unsigned code via NFC behind the head.

Vendor had 90 days. They didn't care. pic.twitter.com/m2z6yLbrzq

— Lance R. Vick (@lrvick) October 12, 2019

Sicherheitsforscher Lance R. Vick hat sich die Tapia Roboter, die in den Gästezimmern der Roboter-Hotels in Japan untergebracht sind, genauer angesehen. Es gibt die Möglichkeit, die Roboter so zu manipulieren, dass Mikrofon und Kamera durch Dritte übernommen werden. Dazu reicht es, den NFC-Tag auf der Rückseite des Kopfes zu kontaktieren, dann in die Einstellungen zu gehen und dort die Installation von Anwendungen aus ungekannten Quellen zulassen. Anschließend lässt sich der Browser verwenden, um eine Streaming-Audio/Video-App nach Wahl zu installieren und diese auf Autorun zu setzen. Anschließend ist das Gerät neu zu starten.

Ein Hacker kann so den Roboter zu einer Wanze umfunktionieren und nachfolgende Gäste über die Streaming-App remote überwachen. Lance R. Vick hat die betreffende Information dann auf Twitter veröffentlicht, nachdem seine Warnungen an die Hotelkette ungehört blieben. Ziel war es, das Management zum Handeln zu bewegen. The Register hat das Ganze hier aufgegriffen. Laut diesem japanischen Medium hat sich das Management der Hotelkette entschuldigt und will Modifikationen an seinen Robotern durchführen lassen, um eine Überwachung zu verhindern.

Da ist er wieder, der Zwiespalt zwischen der 'alles ist möglich, einfach mal ausprobieren'-Mentalität und der 'das Zeugs ist die Büche der Pandora, unsicher bis zum Abwinken'-Abwehr. Wie viel Automatisierung ist möglich bzw. erwünscht, und wie steht es um die Sicherheit? Die Tage hatte ich im Blog-Beitrag Lautsprecher von Amazon und Google als Wanzen gezeigt, dass da eher weniger ist mehr gilt und man aus Sicherheitsgründen auf das Zeugs verzichten sollte.