Yarbo Robot Çim Biçicilerinin Güvenlik Skandalı: Hardcoded Şifre, Backdoor ve The Verge Soruşturması

Robot çim biçicilerin "akıllı bahçe" anlatısının altından çirkin bir IoT güvenliği hikâyesi çıktı. Yarbo — toolless cargo aksesuarları, kar küreme bıçakları ve robot çim biçici fonksiyonlarıyla pazarlanan popüler bir bahçe robotu — güvenlik araştırmacıları tarafından fleet-wide hardcoded root şifre ve sahibinin kapatamadığı bir remote-access backdoor ile uçurumun kenarına atıldı. Hikâyenin tam ölçeğini The Verge ortaya koydu; Yarbo'nun yanıtı ise sektör için tanıdık bir senaryoyu izliyor.

Tek bir şifre, binlerce robot

Güvenlik araştırmacıları Makris ve Petach'in keşfine göre Yarbo'nun firmware'i tüm cihazlara aynı root şifresini set eden bir credential-updater içeriyor. Şifre düz metin: hy@8886!#, Yarbo'nun kendi Greengrass component'inin v1.0.3 sürümünde. Dosya yolu: userdata/greengrass/v2/packages/artifacts/credential_updater/1.0.3/x.update.credentials.sh, satır 77.

Ne anlama geliyor? Tüm Yarbo filosundaki her cihaz aynı root şifresini paylaşıyor. Bir tanesini eline geçiren saldırgan, prensipte hepsine erişebilir.

Sahip kapatamıyor — tasarımsal bir sorun

Bu hikâye tek bir kötü password seçiminden ibaret değil. Yarbo'nun firmware update mekanizması, kullanıcı şifreyi manuel değiştirmiş olsa bile, bir sonraki güncellemede şifreyi varsayılana geri çekiyor. Yani sahibin kendini koruması teknik olarak imkânsız.

Üstüne: Petach'in tabiriyle, Yarbo kasıtlı olarak bir remote-access backdoor yerleştirmiş — "her robota otomatik kuruluyor, sahip tarafından devre dışı bırakılamıyor ve kaldırılırsa aktif olarak yeniden yükleniyor." Backdoor'ı keşfedip silmek bile çözüm değil; firmware onu geri çağırıyor.

Petach'in tepkisi tek cümlede: "Wow, that's even worse than I thought."

The Verge ve "A hacker ran me over with a robot lawn mower"

The Verge muhabiri Andreas hikâyeyi "Bir hacker beni bir robot çim biçiciyle ezdi" başlığıyla yayımladı. Etkilenen cihazların haritası California genelinde yüzlerce noktayı işaretliyor — San Francisco'dan Sacramento'ya, Fresno'dan Bakersfield'a uzanan bir dağılım. Aynı backdoor üzerinden uzaktan komut gönderilebileceği için fiziksel güvenlik de tabloya giriyor.

Hikâye sadece "robotum hacklendi" değil; kameralar, WiFi PSK'leri ve cihaz üzerinde tutulan kişisel veriler de aynı SSH oturumu üzerinden erişilebilir hâlde.

Yarbo'nun resmî yanıtı

Yarbo ilk e-postasında ("Bryan, Team Yarbo" imzalı) klasik bir IoT savunması yaptı: "Bu konuları ciddiye alıyoruz... Remote access yalnızca müşterinin açıkça istek yapması üzerine, yetkili servis koşullarında devreye giriyor." The Verge yayımlandıktan bir gün sonra ise şirket daha kapsamlı bir plan duyurdu:

In-app customer approval mekanizması
Daha net session visibility ve daha güçlü audit logging
Müşteri-yönlü access history
Web sitesinde dedicated Security Response Center
Bug bounty programı

Yine de The Verge'in temel hatırlatması anlamlı: "though it may stop short of disabling remote access entirely" — backdoor'ın tamamen kaldırılıp kaldırılmayacağı hâlâ belirsiz.

IoT güvenliği için neden önemli?

Bu olay tek bir markanın hatası değil. Bağlı cihaz piyasasında her donanım üreticisinin aynı yapısal hataları yaptığını gösteren bir vaka:

Hardcoded credentials — geliştirme aşamasında kolay, sonradan güvenlik felaketi.
Root password'ün firmware update ile resetlenmesi — kullanıcının kendini korumasını imkânsız kılan bir antipattern.
Sahibi kapatamayan remote backdoor — pazarlamada "uzaktan destek" olarak satılır, gerçekte sahiplik kavramını boşa çıkarır.
Sorumluluk vakti gelene kadar PR savunması — sektör standartı, ama The Verge gibi yayınlar tarafından zorlandığında hızla genişler.

Yarbo'ya sahip iseniz: en basit hafifletici adım, Yarbo bulutuna doğrudan internet erişimi olmayan bir VLAN'a koymak. Şirketin tam çözümünü görene kadar ağ tarafında izole tutmak akıllıca.

Çıkarılacak ders

Akıllı bahçe robotu, robot süpürge, IP kamera, smart lock — hepsi aynı kategoride. Cihazınız internete bağlanıyorsa, üreticinin firmware politikası sizin güvenlik politikanızdan daha güçlüdür. Yarbo skandalı, IoT pazarının sessizce sürdürdüğü bir uygulamayı görünür hâle getirdi.

Sen ne düşünüyorsun? Bu hikâye sonrası Yarbo'ya güvenir misin? Daha geniş soruda: bağlı bir bahçe cihazını bilinçli olarak alır mısın, yoksa "internet'siz" varyantı tercih mi edersin?