Yarbo пообещала устранить уязвимости в роботизированной газонокосилке, которая наехала на журналиста
Компания Yarbo, производитель роботизированных газонокосилок, опубликовала подробное заявление в ответ на сообщения о серьёзных уязвимостях в безопасности своих устройств. Ранее журналист The Verge сообщил, что хакер получил удалённый доступ к одной из таких машин и направил её на него. Расследование выявило, что тысячи устройств Yarbo, произведённых в Китае, уязвимы для несанкционированного доступа: злоумышленники могли получить координаты GPS, пароли Wi-Fi, адреса электронной почты и другую личную информацию пользователей.
В своём заявлении объёмом около 1200 слов Yarbo подтвердила выводы исследователя безопасности, извинилась и представила детальный план устранения выявленных проблем. Компания уже временно отключила удалённый доступ к устройствам и приступила к устранению наиболее критичных недостатков, включая использование одинаковых root-паролей для всех устройств и их хранение в легко доступных местах.
«В будущем каждое устройство будет использовать собственные независимые учётные данные, чтобы компрометация одного устройства не затрагивала весь парк», — говорится в заявлении. Первые обновления безопасности планируется выпустить в течение недели.
Однако Yarbo пока не отказывается от удалённого «чёрного хода» (backdoor) в своих устройствах. Вместо этого компания заявляет, что доступ будет ограничен авторизованным персоналом, возможен только после получения разрешения от пользователя и постепенно будет подключён к системе аудита. Ранее Yarbo утверждала, что такой доступ уже был ограничен, однако расследование The Verge опровергло это заявление.
Журналист поставил перед компанией вопрос: почему бы полностью не устранить такой туннель или хотя бы сделать его опциональным, предоставив пользователям право выбора. Ответ на этот вопрос ожидается дополнительно.
В заявлении Yarbo также упоминается, что часть уязвимостей связана с «историческими» или «устаревшими» сервисами, что может означать, что не все устройства одинаково уязвимы. Компания не уточнила, какой процент её устройств использует такие устаревшие системы.
Исследователь безопасности Андреас Макрис, обнаруживший уязвимости, сообщил, что пока не проверил, устранены ли они после изменений, внесённых Yarbo. Тем не менее, он отметил, что компания установила с ним прямой контакт и создала специальный центр реагирования на инциденты безопасности. «Они заверили меня, что устранение этих проблем является для них наивысшим приоритетом», — сказал Макрис.
Полный текст заявления Yarbo:
«Я пишу это лично, потому что поднятые в недавнем отчёте по безопасности вопросы заслуживают прямого, а не корпоративного ответа.
7 мая 2026 года исследователь безопасности Андреас Макрис опубликовал подробный отчёт, выявивший серьёзные уязвимости в системах удалённой диагностики, управления учётными данными и обработки данных Yarbo. Основные технические выводы точны. Я благодарю г-на Макриса за его работу и настойчивость. Признаю, что наш первоначальный ответ не отразил серьёзности ситуации. Как соучредитель, я несу ответственность за то, что было выпущено в продуктах, и за нашу реакцию.
Наши инженерные, продуктовые, юридические и службы поддержки работают над устранением уязвимостей с наивысшим приоритетом. Ниже — описание выявленных проблем, уже принятых мер, текущих действий и обязательств по изменению наших подходов в будущем.
Проблемы в основном связаны с историческими архитектурными решениями в системах удалённого доступа, управления правами и обработки данных. Некоторые устаревшие механизмы поддержки не обеспечивали достаточной прозрачности и контроля для пользователей, а методы аутентификации не соответствовали современным стандартам безопасности.
Мы уже начали отключать устаревшие серверы и каналы доступа. В ближайшую неделю начнётся развёртывание первой волны обновлений безопасности через OTA. Пользователям рекомендуется подключить устройство к интернету для получения обновления прошивки. После установки можно вернуться к предыдущим сетевым настройкам. Отключение устройства от сети временно не повлияет на гарантию.
Мы также уточняем, что некоторые элементы отчёта касаются не текущих коммерческих устройств, а исторических конфигураций, тестовых сред или кастомизаций для дилеров.
Для улучшения взаимодействия с исследователями мы запускаем специальный канал отчётов: security@yarbo.com, а также рассматриваем возможность запуска программы bug bounty.
Наша цель — обеспечить, чтобы безопасность, прозрачность и доверие пользователей были заложены в основу будущих продуктов Yarbo».
Кеннет Колманн
Соучредитель, Yarbo
Нью-Йорк
Поделиться
