Tienduizenden robots van fabrikant SoftBank zijn door een ongepatcht beveiligingslek kwetsbaar voor ransomware, zo waarschuwt securitybedrijf IOActive. Het gaat om de op bedrijven gerichte Pepper-robot en de in onderzoek en onderwijs gebruikte NAO-robot.

Volgens IOActive zijn wereldwijd 30.000 van de robots in omloop. "Vanwege hun wereldwijde populariteit en prijs van boven de 10.000 dollar, zijn deze robots een interessant doelwit voor mogelijke ransomware-aanvallen", zegt onderzoeker Cesar Cerrudo. Onderzoekers van IOActive keken eerder al naar de veiligheid van robots en ontdekten daarbij verschillende kwetsbaarheden.

Zo is er een ongedocumenteerde functie waardoor het mogelijk is om op afstand commando's op de robot uit te voeren. Softbank werd in januari 2017 over het probleem ingelicht, maar ruim een jaar later is er geen update beschikbaar. IOActive heeft nu een proof-of-concept ontwikkeld om de robots met ransomware te infecteren en een uitleg hiervan online gezet, alsmede een videodemonstratie.

Cerrudo merkt op dat de robots geen eenvoudige manier hebben om een fabrieksreset uit te voeren als er een softwareprobleem is. Het over laten komen van een technicus om de ransomware te verwijderen zou weken kunnen duren, afhankelijk van de beschikbaarheid. De onderzoeker merkt op dat de robot tijdens het onderzoek stopte met werken en de enige optie was om die ter reparatie terug naar de leverancier te sturen.

"Ons onderzoek laat zien dat ransomware voor robots een echte dreiging is met mogelijk enorme economische gevolgen voor bedrijven", merkt Cerrudo op. Hoewel de proof-of-concept ransomware alleen voor de Pepper en NAO van Softbank is gemaakt, werkt dezelfde aanval tegen bijna elke robot. "Robotfabrikanten moeten de veiligheid verbeteren, alsmede de herstel- en updatemechanismen van hun robots om de ransomwaredreiging te beperken. Als robotfabrikanten niet snel in actie komen, kunnen ransomware-aanvallen op robots bedrijven wereldwijd lamleggen", aldus de onderzoeker.