Verschillende beveiligingsonderzoekers waarschuwen voor de smartphone-app van dronefabrikant DJI. De app kan namelijk buiten de controle van de Google Play Store om updates en nieuwe software op toestellen installeren. Iets waarmee DJI de regels van de Google Play Store overtreedt. Daarnaast verzamelt de app persoonlijke data die niet voor het bedienen van drones is vereist, zo claimen de onderzoekers.

De dronefabrikant erkent het downloaden van software via de eigen servers en zegt dat het in de toekomst ook de optie voor downloads via de Google Play Store zal aanbieden. De onderdelen die onnodige persoonlijke gegevens verzamelen zijn al uit de app verwijderd. Volgens DJI is er dan ook sprake van "hypothetische kwetsbaarheden".

Onderzoekers van Synacktiv besloten naar de DJI GO 4-app te kijken. Met deze app is het mogelijk om drones via de eigen smartphone te besturen. Tijdens de analyse vinden de onderzoekers een automatische updatefunctie die buiten de Google Play Store om werkt. Iets wat tegen de regels van Google is. Het techbedrijf stelt dat apps die via de Play Store zijn gedownload alleen via het updatemechanisme van de Play Store mogen worden bijgewerkt.

"Gegeven de vele permissies die DJI Go vereist (toegang tot contacten, microfoon, camera, locatie, opslag, het veranderen van netwerkconnectiviteit, etc.) hebben DJI- of partnerservers volledige controle over de telefoon van gebruikers", aldus de onderzoekers van Synacktiv. Die stellen dat op deze manier de updates die DJI naar gebruikers uitrolt niet door Google zijn te controleren.

Verder blijkt de app gebruik te maken van het MobTech SDK-framework, waarmee een grote hoeveelheid data van het toestel wordt verzameld, waaronder IMSI, IMEI en serienummer van de sim-kaart. De onderzoekers adviseren dronegebruikers vanwege het mogelijk lekken van gevoelige data om voorzichtig te zijn met het gebruik van de app. Het gaat daarbij specifiek om de Android-versie van de app. De iOS-versie blijkt niet over de eerder genoemde updatefunctie te beschikken.

Onderzoekers van securitybedrijf Grimm bevestigen de bevindingen van Synacktiv. Ook zij waarschuwen voor de updatefunctie. "Die weet de Google Play Store volledig te omzeilen, waardoor de servers van DJI volledige controle over de gedownloade APK hebben, kwaadaardig of niet." Verder merken ze op dat de app gebruikmaakt van de Weibo SDK, die gebruikers kan vragen om willekeurige applicaties te installeren. Iets wat opnieuw in overtreding van de regels van Google is. Net als hun collega's van Synactiv waarschuwen de onderzoekers van Grimm om voorzichtig te zijn met de app. "Deze features zijn zorgwekkend en kunnen DJI of Weibo toegang tot de privégegevens van gebruikers geven of hen een doelwit voor verdere exploitatie maken."

In een reactie stelt DJI dat de updatefunctie van de app een belangrijke rol speelt. Wanneer de systemen van de dronefabrikant ontdekken dat de app is aangepast, bijvoorbeeld om geofencing of hoogtebeperkingen te omzeilen, worden gebruikers verplicht om de officiële versie via de DJI-website te downloaden. In de toekomst zal het ook mogelijk worden om dit via de Google Play Store te doen. Wat betreft het gebruik van de MobTech SDK is die inmiddels verwijderd en de Weibo SDK wordt alleen actief wanneer gebruikers die inschakelen, aldus de verklaring.