「変なホテル舞浜」の卵型ロボ「Tapia」に脆弱性 不正操作が可能な状況 Twitter上の指摘で発覚

ロボットが接客するホテルチェーン「変なホテル」を運営するH.I.S.ホテルホールディングス（HD）は10月17日、「変なホテル舞浜 東京ベイ」（千葉県浦安市）の全100室に設置していた卵型コミュニケーションロボット「Tapia」に脆弱（ぜいじゃく）性が見つかったと発表した。悪意のある宿泊者がプログラムに攻撃を加えると、不正操作できる状況だったという。 H.I.S.ホテルHDは調査の結果、同ロボットに不正なプログラムが仕掛けられた形跡はなかったとしている。セキュリティー対策強化も済ませたという。 数日前にTwitter上で指摘 Tapiaの脆弱性を巡っては、「Lance R. Vick」と名乗る宿泊客が10月12日に、「変なホテルのロボット『Tapia』（のプログラム）を書き換えると、他の客の映像や音声を取得し、遠隔地から任意のタイミングで視聴できる」とTwitterに投稿。ツイートには、端

[hobbiel55]

「メールは報奨金を目的とした不審なものだと結論付け、差出人との接触を避けたとしている。」←それって脆弱性報奨金制度を設けてたくせに、実際に情報提供があっても支払わない運用をしてたってこと?

[mitimasu]

不正なソフトやアプリが設置されてからじゃ遅いから報奨金を用意して脆弱性報告を募ってんじゃないの？

[zentarou]

変なホテルとか面白法人とか自称系はロクでもないな！！

[tarotheripper]

"メールは報奨金を目的とした不審なものだ" bug bounty program全否定じゃん🤣

[renos]

ゴミカスみたいな対応しとんな…

[gabill]

この件とは違う脆弱性だけど、2017年にWPAの脆弱性を受け「対策につきましては随時情報を本ページにて公開させていただきます」と言ったまま音沙汰なし？ https://mjirobotics.co.jp/20171027-2/

[korokoro_spl]

『メールは報奨金を目的とした不審なものだと結論付け、差出人との接触を避けたとしている。』(対応が)変なホテル

[gorn]

これは悪手に過ぎるね。完全にサイバーノーガード戦法になってしまっていると思う。確かに、対応が変なホテルだ。興味はあったがこんな糞な対応のホテルの利用はしないことにしよう。

[deep_one]

『「不正操作を含めたリスクは極めて少ない」と判断。メールは報奨金を目的とした不審なものだと結論付け』このメーカーは馬鹿だろう。「プログラムによっては」という事は「任意のプログラムを実行可能」だな。

[arien_nu]

「メールは報奨金を目的とした不審なものだと結論付け、差出人との接触を避けたとしている」

[ys0000]

だめだこりゃ。90日の猶予を設け、脆弱性があることを示したのに対処せずってのがNG。報奨金支払って脆弱性の詳細を提供いただいて、修正すればダメージが少ないのに何してたんだろ。

[daybeforeyesterday]

うーむ

[maturi]

ひろみちゅ先生来てくれー

[ryunosinfx]

セキュリティの専任担当者が居なかったんだろ・・それぐらい金のめぐりが悪い、安かろう悪かろうの感じ。IoTは共通プラットフォームを使えばセキュリティはザルに成りやすいからなー。会社飛ばないとダメかもしれんね

[shinp]

この前gitレポジトリ削除して金くれないと後悔するぞ的なことやってたやつおるやん。アレと同じと思われたんだろ。そも、androidの開発者モードが立ち上げられたぐらいの話やろ。

[securecat]

対応が変なホテルに改称させたい案件

[usaribon]

日本企業は晒されないと行動できんのか？

[sucelie]

ホテルの運営も開発会社もヤバいな

[fukken]

天下のH.I.S.グループでこれかー。まぁ老害ばっかりなんだろうな。

[Helfard]

このホテルを会場にして泊まりがけでハッカソンを開催しよう！！！

[monochrome_K2]

この内容だと脆弱性に対応したのではなく対処療法としてアクセス制限を掛けただけのようなので他の利用者の不安を解消するためにも開発元が明確に説明すべきだと思う

[scipio1031]

「ラブホのシャンプーは使わない」みたいに「ホテル客室のスマートスピーカーは使わない、コンセントから抜く」が自衛策になりそう。

[HMT_EG]

たまに、くら寿司の端末にホームボタンが表示されている。管理画面にもアクセスできそうで、うまくいけば皿数をリセットできるかも知れない。

[naglfar]

実際の被害がないからと放置してたら全世界に公表されたから修正しましたって話か。利用したくないな。

[dorje2009]

脆弱性がなくても録画や録音が出来る機器を客室に置くこと自体が結構リスクあると思う。IoTならなおさら。

[shag]

で、報奨金はどうなったんだ？こんなことしたら次は exploit 公開されるだけだぞ。

[ysync]

wifi越しなのかな？シリアルコンソールとか出てんのかな？ｗ／メモリーカード口あったりするんかな？

[masayoshinym]

“メールは報奨金を目的とした不審なものだと結論付け”「報奨金目的＝不審」となる思考回路がまったく理解できない。

[emt0]

ホテルと言うよりMJIが酷いな。そしてこの脆弱性ってこの会社のソリューションの根幹に影響有りそう。払い除けたくなる気持ちも分かる。

[AKIMOTO]

報告者はまさかホテルやその顧客がひどい目に遭わないか心配してこんなことしたんじゃないだろうな!

[fashi]

「可能だったかもしれないが、調査では不正なソフトやアプリは見つからなかった」実被害がなければ対策する必要ないって態度を表に出すの悪手すぎるな

[uunfo]

これの件か https://twitter.com/junderwood4649/status/1182954879125344257 ／変なホテルは被害者側だけど、全ロボット化してるくせに対応が遅すぎるな

[igaiga07]

親切に脆弱性あるのを教えてくれたのにろくすっぽ検証もしないで報奨金目当てと決めつけるあたりにもにょる

[ayumun]

“セキュリティに穴があったことは事実だが” それでも、実際発見は出来なかったからこの対応セーフだとほんとに思ってそう

[maxk1]

さてこの後報奨金は支払われるのかな（どんな制度かしらないけど

[ShimoritaKazuyo]

このネタ強迫に使えるじゃん

[fviAtCore]

被害が出るまで対応しないに1ペリカ