Gli hacker hanno il pollice verde! I tosaerba della Yarbo sono stati compromessi da remoto

Yarbo è al centro di una grave crisi di sicurezza dopo la scoperta di vulnerabilità nei suoi robot modulari, capaci di consentire il controllo remoto completo dei dispositivi. Le falle permettono accesso a telecamere, dati Wi-Fi e coordinate GPS. Il problema riguarda il sistema Linux con password di root condivisa e accesso remoto non disattivabile. Le vulnerabilità nei robot Yarbo espongono oltre 11.000 dispositivi e sollevano dubbi sulla sicurezza dell’IoT domestico.

Il ricercatore di sicurezza Andreas Makris ha scoperto vulnerabilità critiche nei robot Yarbo, ovvero tosaerba modulari, spazzaneve e tagliasiepi telecomandati. I bug scoperti consentono ad aggressori di prendere il controllo dei dispositivi da remoto, disabilitare il pulsante di arresto di emergenza e accedere ai dati del proprietario.

Secondo Makris, se un malintenzionato riesce ad accedere anche a un solo Yarbo, ottiene di fatto l’accesso all’intero ecosistema. Il ricercatore ha dichiarato a The Verge di essere riuscito ad accedere alle telecamere e ai flussi video in tempo reale dei robot, a controllarli da remoto e ad estrarre dati sensibili degli utenti, tra cui le coordinate GPS delle loro abitazioni, gli indirizzi email e le password Wi-Fi.

Yarbo produce robot il cui prezzo si aggira intorno ai 5.000 dollari. L’azienda vende essenzialmente una piattaforma modulare con un “nucleo” cingolato a cui vengono fissati accessori per tagliare l’erba, spalare la neve e svolgere altre attività. Makris stima che oltre 11.000 dispositivi in tutto il mondo siano interessati dalle vulnerabilità scoperte, tra cui circa 5.400 robot negli Stati Uniti e in Europa.

Il ricercatore spiega che il problema riguarda il sistema Linux integrato nei robot. Tutti i dispositivi utilizzano la stessa password di root e, anche se modificata manualmente, può essere automaticamente ripristinata ai valori predefiniti durante un aggiornamento del firmware. Inoltre, il sistema dispone di un meccanismo di accesso remoto integrato che non può essere disabilitato tramite le impostazioni.

Makris sostiene che questa backdoor può essere utilizzata non solo per controllare i movimenti dei robot, ma anche per riprogrammare i dispositivi: attivare le lame, utilizzare il dispositivo come parte di una botnet o attaccare la rete domestica del proprietario. Secondo lo specialista, neanche la pressione del pulsante fisico di arresto di emergenza garantisce la sicurezza: un operatore remoto può riattivare il tosaerba.

Alcuni giornalisti hanno verificato le affermazioni del ricercatore. In particolare, hanno visitato diversi possessori di dispositivi Yarbo e confermato che i dati ottenuti tramite le vulnerabilità corrispondevano effettivamente agli indirizzi reali, alle reti Wi-Fi e agli account di questi utenti.

Durante la dimostrazione, il ricercatore ha anche controllato a distanza un tosaerba Yarbo, puntandolo contro un giornalista di The Verge che si trovava sdraiato di fronte al dispositivo. In questo modo, lo specialista ha dimostrato che le vulnerabilità consentono il controllo completo dei robot e l’elusione delle misure di sicurezza, bloccando persino i pulsanti di arresto di emergenza.

Uno dei possessori del dispositivo, Matt Petach, ex architetto di rete di Yahoo e Microsoft, ha paragonato la situazione a una “motosega senza freno né protezione”. Ha affermato che gli utenti troppo spesso percepiscono questi gadget come “assistenti amichevoli”, quando in realtà si tratta di veri e propri computer con accesso all’intera infrastruttura domestica.

Makris ha pubblicato la ricerca insieme agli identificativi CVE per le vulnerabilità (CVE-2026-7413 , CVE-2026-7414 e CVE-2026-7415) senza attendere che i problemi fossero completamente risolti. Ha giustificato questa scelta affermando che i rappresentanti di Yarbo non avevano preso sul serio la minaccia e si erano a lungo riferiti all’accesso remoto ai dispositivi come a una “funzionalità diagnostica”.

In seguito alla pubblicazione open-source della ricerca, i rappresentanti di Yarbo hanno dichiarato di aver già preparato delle patch per alcune delle vulnerabilità e di essere al lavoro su ulteriori meccanismi di protezione. L’azienda ha promesso di migliorare il monitoraggio delle sessioni remote, aggiungere registri delle azioni e creare un Centro di risposta alla sicurezza dedicato per ricevere le segnalazioni di vulnerabilità.

Il ricercatore sottolinea che Yarbo è solo un esempio del crescente problema dei dispositivi IoT non protetti. Sottolinea come molti gadget intelligenti moderni offrano capacità di rete eccessive e siano virtualmente vulnerabili agli attacchi informatici da remoto.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research