Атаки срещу умния дом: открити са уязвимости в два от продуктите на българската компания Shelly Group

Публикувана на 24.11.2025 от Христо Петров
Последна промяна на 25.11.2025

Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) съобщава за уязвимости в два от продуктите на българската компания Shelly Group.

Бъговете са с ниска сложност на експлоатация: всеки, който има достъп до локалната мрежа, може да ги задейства и да предизвика рестартиране на електромера Shelly Pro 3EM и релето Shelly Pro 4PM. От своя страна рестартирането може да доведе до краткосрочни проблеми като смущения при отчитането на електроенергията или спиране на някои автоматизации в електрическата мрежа, към която са инсталирани уредите.

Опасност от DOS атака

И двете уяззвимости създават възможност за DOS атака срещу засегнатото устройство. В случая с електромера Shelly Pro 3EM е достатъчно злонамерено лице с достъп до локалната мрежа да изпрати Modbus заявка.

Заявката води до DOS атака и рестартиране на устройството, като през това време може да спре отчитането на данни за консумираната електроенергия.

Ако електромерът е интегриран към някаква автоматизация – например да се изключи електрически уред, ако е достигнато определено ниво на потребление – тази автоматизация временно ще спре да работи.

От CISA посочват, че не са успели да се свържат с Shelly Group, за да работят за отстраняване на проблема. „Shelly не отговори на опитите на CISA за координация. Насърчаваме потребителите на Shelly Pro 3EM устройства да се свържат с Shelly и да поддържат системите си обновени“, коментират от CISA.

Уязвимостта в релето Shelly Pro 4PM води до сходни резултати: тя позволява на хакер с достъп до локалната мрежа да рестартира устройството. По време на рестартирането уредът няма да отчита данни за потреблението на мощност, както и няма да може да се управляват от разстояние осветление, електроуреди или каквото е свързано към релето.

Какви може да са последствията за домакинства и бизнеси

Домакинства, които използват някое от засегнатите устройства, едва ли ще пострадат особено при сценарий с DOS атака. И в двата случая става дума за временни смущения, които се наблюдават само за периода на рестартиране на съответното устройство: така, както интернет достъпът спира, докато рутерът ви се рестартира.

Възможно е да се създадат неудобства: например домакинството да остане без топла вода, защото заради рестартирането не се е задействало автоматизираното включване на бойлера. Вероятността нещо подобно да се случи е малка, тъй като е граничен случай, но съществува.

При организации щетите биха могли да са една идея по-съществени: например проблеми с отчитането и анализа на консумираната електроенергия, временно спиране на автоматизации или системи за енергийно управление.

Справка с Shodan показва, че засегнатите релета и електромери са инсталирани в различни страни от цял свят като САЩ, Германия, Франция, Испания, Финландия и т.н. Самият факт, че тези устройства изобщо са достъпни през интернет, е отделен проблем с тяхната сигурност. Търсачката връща и един резултат от IP адрес, свързан с държавна институция в България.

Как да се предпазите

От CISA препоръчват следните предпазни мерки:

редовно проверявайте за обновления на фърмуера на устройствата;
следете за необичайни рестартирания на уредите и „слепи петна“ при отчитането;
направете анализ на автоматизациите, които зависят от работата на Pro 3EM и Pro 4PM;

Коя е Shelly Group

Shelly Group е основана от българите Димитър Димитров и Светлин Тодоров. Компанията започва като бизнес за мобилни услуги с добавена стойност, после преминава към продажбата на свързани към интернет продукти за дома и офиса.

Трансформацията от приемане на плащания с SMS-и към IoT устройства разду значително мащабите на бизнеса. За първите девет месеца на 2025 г. приходите й достигат 87 млн. евро, а основните й пазари са в Европа, въпреки че продава и в САЩ.

Акциите на Shelly Group се търгуват на фондовата борса във Франкфурт. За 11-те месеца от началото на 2025 г. акциите й са поскъпнали с над 50%, а пазарната капитализация на дружеството е около 1 млрд. евро.

Искате да научавате новините на момента?

|| >>> Следвайте Questona във Facebook || >>> Следвайте Questona в LinkedIn ||