小米米家电动滑板车M365风靡全球，是目前市场上最受欢迎的电动滑板车之一。其卓越的品质和亲民的价格使其成为全球畅销产品，但正如许多成功产品一样，它也成为了黑客攻击的目标。
小米M365存在安全漏洞，可实现远程控制
安全组织Zimperium发布报告称，小米电动滑板车存在安全漏洞，允许攻击者在无需任何凭证的情况下远程控制设备并执行指令。报告指出，用户只需在官方应用程序中注册即可；然而，直接连接到设备无需任何身份验证，因此攻击者可以随意执行指令。
我们的研究人员成功入侵了小米M365这款领先的电动滑板车，并能有效地锁定、刹车和/或加速任何路过的骑行者的滑板车。阅读更多关于这项发现的概念验证：https://t.co/w5kKAerEXJ pic.twitter.com/kcNSFuifDE
- ZIMPERIUM (@ZIMPERIUM) 2019 年 2 月 12 日
一旦连接到设备，攻击者即可在约 100 米的距离内远程控制电动滑板车，执行诸如锁定滑板车或无故加速/刹车等指令——这些操作无疑会导致事故，危及骑行者和附近的任何人。这需要安装伪装成固件的恶意软件，而滑板车的蓝牙模块不会监控此类操作，这使得攻击者可以完全自由地安装任何他们想要的东西。在下方由 Zimperium 发布的视频中，您可以看到该安全组织专门为此目的开发的应用程序如何远程锁定电动滑板车。
据报道，小米已于数周前意识到此问题，目前正在开发解决方案，并将通过系统更新发布。然而，这项任务似乎并不轻松，因为受影响的蓝牙模块依赖于第三方制造商，因此小米必须与该制造商密切合作，共同发布解决方案。目前已知的信息仅限于此，因此建议用户警惕可能出现的恶意应用程序，这些应用程序可能会助长此类滥用行为。
[相关通知空白标题=»这些是您可以在亚马逊上购买的 5 款电动滑板车»]https://eloutput.com/input/guide-compras/patinetes-electricos-amazon/[/RelatedNotice]
如何避免你的小米滑板车被黑客攻击？
不幸的是，该漏洞是系统级的，因此无法阻止对滑板车的远程访问。通过官方应用程序设置复杂密码也无济于事，因为如前所述，系统对直接连接不需要任何身份验证。目前唯一的解决办法是等待制造商发布安全补丁更新，因此在此期间，您需要格外小心。
更新：我们已根据小米官方对此事的声明更新了文章。
小米知道有恶意的黑客可以利用该漏洞来破坏小米电动滑板车的运行。 我们一发现这个漏洞，就一直在努力修复它并删除所有未经授权的应用程序。 同时，小米的产品和安全团队正在准备尽快推出的 OTA 更新。 小米重视用户和安全社区的反馈。 我们致力于根据所有反馈不断改进，以打造更好、更安全的产品。
更新 2：mixx.io用户社区报告称，蓝牙连接安全问题已存在一年多，早已是公开的秘密。该漏洞曾被利用来安装自定义固件，从而提升电动滑板车的动力，因此此次发现或许并不令人意外。然而，Zimperium 的研究揭示了问题的严重性，并有助于我们了解此类漏洞的潜在影响范围。
此外，该用户评论了一个巧妙的解决方案，该解决方案将用于阻止远程访问我们的溜冰鞋，因为将溜冰鞋与设备连接就足以使连接始终被阻止（第二个设备不能建立连接），也可以更改设备的名称，使其伪装成具有开放蓝牙连接的电话，这会误导可能的攻击者。
[感谢 M4p3x 的提示]