Après avoir piraté Mcdo, cette hackeuse s'attaque aux robots serveurs dans les restaurants

Dans un article publié fin août, la hackeuse éthique BobdaHacker décrit sa dernière opération de piratage. Elle vise une nouvelle fois le secteur de la restauration, moins de deux semaines après avoir révélé les failles de sécurité chez McDonald’s.

« Alléger la tâche des collaborateurs tout en suscitant l’intérêt et la curiosité de votre clientèle » : telle est la promesse du fabricant chinois PUDU Robotic pour son robot serveur BellaBot.

Pour un peu moins de 15 000 euros, les professionnels de la restauration peuvent se doter d’un nouvel assistant en forme de chat, conçu pour « optimiser les opérations de service » grâce à ses quatre plateaux, chacun capable de supporter jusqu’à 10 kilos.

Disponible 7j/7, 365 jours par an et doté d’une autonomie de 12 à 24 heures, BellaBot a déjà trouvé du boulot dans plus de 1 000 villes à travers le monde.

Mais, voilà, l’employé ultra-serviable, apte à faire le beau quand on le salue, n’obéissait pas exclusivement à son personnel. Dans un article publié le 29 août 2025, BobdaHacker a démontré qu’une personne extérieure pouvait également donner des ordres à BellaBot.

Votre vie privée doit rester privée.

Face aux cyberattaques, déjouez les pronostics. Les nouvelles arnaques sont plus complexes et plus sophistiquées, alors ne devenez pas une victime de plus, il existe des solutions performantes et accessibles.

La hackeuse éthique, ayant notamment connu un précédent notoire avec McDonald’s à la mi-août, ne semblait pas rassasiée et a cherché à alerter la marque chinoise sur ses trouvailles. Une démarche semée d’embuches.

Un problème de permissions

L’enquête de BobdaHacker a débuté le 12 août 2025, lorsque la hackeuse a découvert que l’API permettant de contrôler les robots Pudu ne disposaient d’aucune vérification des permissions.

Il suffisait alors de disposer d’un token valide pour potentiellement prendre le contrôle des robots. Un précieux sésame qu’un acteur malveillant pourrait récupérer très facilement. En effet, un token est généré à la création d’un compte pour tester un robot avant de passer à l’achat.

En quelques lignes de code, BobdaHacker est parvenue à lister tous les robots d’une enseigne, consulter l’historique des commandes, modifier des paramètres comme leur surnom ou leur comportement, mais surtout la hackeuse éthique a pu contrôler des robots ne lui appartenant pas.

Pire, la faille exploitée par la hackeuse ne concernait pas uniquement BellaBot, mais bien une très large gamme des produits Pudu comme des robots d’entretien ou d’assistants sur les chantiers.

Une prise de contact chaotique

Après avoir mis au jour la faille, BobdaHacker a cherché à contacter les équipes de Pudu pour leur présenter les résultats de son piratage éthique. Les risques d’un détournement massif des robots de la marque étaient réels, d’autant que BellaBot officie dans les restaurants, mais également dans des hôtels et des hôpitaux, notamment en Asie.

Pourtant, la direction de Pudu n’a pas semblé prendre l’alerte au sérieux. Des équipes commerciales aux techniciens, en passant par le support client, toutes sont restées muettes face aux nombreux courriels de BobdaHacker.

Le 21 août, la hackeuse a décidé d’agir en contactant plus de cinquante employés du groupe, puis en se tournant vers les clients de Pudu. Trois partenaires commerciaux majeurs ont été avertis des vulnérabilités présentes dans les robots utilisés par leur entreprise. C’est seulement à cette étape que Pudu a fini par réagir.

La réponse, tardive et maladroite, est arrivée par e-mail. BobdaHacker a reçu un message manifestement rédigé par un chatbot type ChatGPT, où la mention [insérer votre adresse mail], typique des textes générés automatiquement, a été laissée à la fin du courrier.

Un raté de plus pour Pudu, mais l’essentiel est ailleurs, toutes les failles ont été corrigées en moins de 48 heures après la réception du message.