JVN（Japan Vulnerability Notes）は、ロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROにおける複数の脆弱性を公表した。脆弱性を悪用されると、機器やアプリの動作・通信が不正に操作され、情報漏えいや不正操作につながるおそれがある。
脆弱性の詳細
JVNによると、対象製品には複数の脆弱性が確認されている。各脆弱性のCVE番号、CVSSスコア、攻撃条件および具体的な影響の範囲は、JVNの当該アドバイザリで個別に確認する必要がある。
本件は「複数の脆弱性」として公表されているため、脆弱性の種別や影響（例：情報の取得、不正な操作、サービス妨害など）は脆弱性ごとに異なる可能性がある。公開情報で確認できる範囲では、対象はロボット掃除機本体とスマートフォンアプリの両方に及ぶため、端末側の更新だけでなく、機器側のファームウェア更新も重要である。
また、これらの製品は業務現場でも利用されることがあり、スマートフォン端末やネットワーク経由で連携運用されるケースがある。悪用経路や影響範囲の詳細は現時点で不明だが、少なくとも対象機器とアプリの更新状況、通信経路、連携設定を確認し、業務影響を評価する必要がある。
影響を受ける製品・バージョン
- DEEBOT PRO M1
- DEEBOT PRO K1VAC
- スマートフォンアプリ ECOVACS PRO
推奨される対策
- ベンダーが提供する修正・更新の適用：JVNが示す情報に従い、対象ロボット掃除機のファームウェア更新およびECOVACS PROアプリの更新を実施する。自動更新の有無を確認し、可能であれば最新化が継続される運用にする。
- 利用端末（スマートフォン）の管理強化：ECOVACS PROを利用する業務端末は、OSとアプリを最新化し、不要なアプリの削除、画面ロック、端末の紛失対策を徹底する。業務用と私用の混在を避ける。
- ネットワーク分離：ロボット掃除機などのIoT機器は、社内の基幹端末（会計・受発注・顧客情報を扱う端末）と同一ネットワークに置かない。可能な範囲で専用のネットワーク（SSID/VLAN等）に分離する。
- 不要な連携・権限の見直し：アプリやクラウド連携の設定を確認し、利用していない機能や外部共有を無効化する。管理者アカウントや共有アカウントの運用を避け、権限を最小化する。
- 監視とログ確認：ネットワーク機器側で不審な通信がないか確認できるようにし、異常が疑われる場合は当該機器をネットワークから隔離して状況を確認する。
日本の中小企業が今すぐ取るべき行動
- 対象機器・アプリの棚卸し：社内にDEEBOT PRO M1／K1VACが存在するか、ECOVACS PROを業務端末で利用しているかを確認し、設置場所・管理者・利用端末を一覧化する。
- 更新状況の確認と即時アップデート：ファームウェアとアプリの現在バージョンを確認し、ベンダーが提供する更新を適用する。更新後は動作確認を行い、更新日時と担当者を記録する。
- ネットワーク分離の即時実施：短期的な対応として、当該機器をゲスト用ネットワークや隔離ネットワークへ移し、社内の重要端末と直接通信できない構成にする。
- 運用ルールの確認：ECOVACS PROをインストールできる端末、管理者権限を持つ担当者、アカウント共有の可否などを決め、退職・異動時の権限回収手順を整備する。
- 異常時の手順を準備：不審な挙動（勝手に動く、設定が変わる、通信が増える等）があった場合に備え、ネットワーク隔離、アカウント変更、初期化・再設定、関係者連絡の手順を文書化する。
参照: ロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROにおける複数の脆弱性