中国製のスマートアイマスクに他人の脳波を読み取れる脆弱性があることが判明

AIエンジニアのアイミリオス・ハツィスタム氏が、Kickstarterで購入した中国製のスマートアイマスクにおいて、他人の脳波をリアルタイムで読み取り、さらに電気刺激を送信できる深刻な脆弱(ぜいじゃく)性が存在することを発見しました。

My smart sleep mask broadcasts users' brainwaves to an open MQTT broker | aimilios
https://aimilios.bearblog.dev/reverse-engineering-sleep-mask/

Engineer finds his smart sleep mask can read other people's brainwaves due to poor software security — superpower granted via poor-quality software with hardcoded high-level credentials | Tom's Hardware
https://www.tomshardware.com/peripherals/wearable-tech/engineer-finds-his-smart-sleep-mask-can-read-other-peoples-brainwaves-superpower-granted-via-poor-quality-software-with-hardcoded-high-level-credentials

問題のデバイスは中国のスタートアップが開発したスマートアイマスクで、脳波(EEG)の監視、目の周りへの電気筋肉刺激(EMS)、振動、加熱、オーディオ機能を備えていますが、専用アプリの動作が不安定だったとのこと。そこで、ハツィスタム氏はBluetooth Low Energy(BLE)プロトコルの解析を試み、周囲にある35台のデバイスから自身のマスクを特定して接続しましたが、独自の通信方式が採用されていたため、直接のコマンド送信には失敗したそうです。

そこでハツィスタム氏はAnthropic Claudeを使ったAndroidアプリの解析に切り替え、Flutterで構築されたアプリのバイナリを調査した結果、全コピーで共有される認証情報、クラウドAPIのエンドポイント、15種類のコマンド関数名、およびパケット構造を特定することに成功しました。

解析を進めた結果、ハツィスタム氏は各コマンドを特定し、簡易的なウェブダッシュボードを作成して制御できるようになったといいます。6バイトの問い合わせに対しデバイスは153バイトを返し、モデル番号、ファームウェア版、シリアル番号に加え、脳波の周波数や、呼吸、3軸加速度、3軸ジャイロセンサーからの情報、バッテリー残量が丸見えになったそうです。

さらに、判明した認証情報を使用してメーカーのMQTTブローカーに接続したところ、自分以外の約25台の稼働中のマスクから送られるデータを受信することに成功。そこには、あるユーザーがレム睡眠(REM)状態にあることを示す混合周波数の活動や、別のユーザーが深い徐波睡眠状態にあることを示す4Hz以下の強力なデルタ波など、リアルタイムの生波形が含まれていました。

このアイマスクにはEMS機能があり、制御は別のコマンドとしてmode、frequency、intensity、durationで指定されていました。ハツィスタム氏は、全デバイスが同じ認証情報と同じブローカーを共有していたため、他人の脳波を読み取れるなら電気刺激も送信できたはずだと述べています。また、MQTTブローカーからは睡眠マスク以外にも、空気質モニターの温度、湿度、CO2や、部屋の在室状況を検知する人感センサーのデータも受信できたといいます。

ハツィスタム氏は製品名と企業名を明かさないとしつつ、問題については企業側に連絡したと述べています。なお、ハツィスタム氏とClaudeのセッションの内容はGitHubで公開されています。

session.txt · GitHub
https://gist.github.com/aimihat/a206289b356cac88e2810654adf06a55