DEEBOTの安全性を3つの層に分けて考える｜2026年7月のJVN公表が示したこと

うちにもDEEBOTがいます。平日の昼間、誰もいない部屋を勝手に走り回っています。

便利です。正直、もう手放せません。ただ、仕事柄どうしても引っかかることがある。カメラとマイクを積んだ機械が、家の間取りを覚えて、常時ネットにつながっている。この状態を職場の物差しで見たら、どう評価されるだろうか。

「DEEBOT 安全性」で検索すると、「中国製だから危ない」「もう修正されたから大丈夫」の二択が並びます。どちらも雑だと思っています。

安全性という言葉が、そもそも3つの違うものを指しているからです。

先に結論だけ書いておきます。

条件付きで「買っていい」と考えています。ファームウェアの自動更新をオンにできて、アプリの同意設定を一度見直せるなら、選択肢になります。それが面倒なら、カメラ・マイク非搭載モデルのほうが確実です。

理由と、そう判断した材料をこの下に全部並べます。急ぐ方は、目次から「買っていいか、やめるか」へ飛んでください。

---

DEEBOTの安全性は、3つの層に分けると判断できる

結論から書きます。DEEBOTの安全性は、層を分けないと議論が噛み合いません。

「安全性」という一語に、性質のまったく違う3つの心配が詰め込まれているからです。転んだ子どもを轢かないかという話と、家の映像が中国のサーバに行くかという話と、赤の他人に乗っ取られるかという話。この3つは、原因も対策も担当者も違います。

層	何を心配しているか	誰が対策するか	利用者の打ち手
層1：物理的な安全	段差からの落下、ペットや子どもとの接触、バッテリーの発熱	メーカーの製品設計	ほぼない（設置環境の整理くらい）
層2：メーカーによるデータの取り扱い	間取り、映像、音声がどこへ送られ、誰が見るのか	メーカーの方針と法令	アプリの同意設定で減らせる
層3：第三者による乗っ取り	脆弱性を突かれ、カメラやマイクを他人に使われる	メーカーの修正提供	更新の適用とネットワーク設計

ネット上の議論が荒れるのは、たいてい層2と層3を混ぜているときです。「もう修正されたから安全」は層3の話。でも層2は修正で消えません。メーカーが合法的に集めているデータだからです。

逆に「中国企業だから危ない」も雑です。層3の脆弱性は、どこの国の製品でも出ます。実際、この記事で扱う2026年7月のJVN公表は、日本の窓口から出た日本語の情報です。

以下、層2から順に見ていきます。層1の物理的な安全は、正直この記事の守備範囲を超えるので触れません。

層2：エコバックスは家の中の何を、どこへ送っているのか

ここは推測で語らず、公式のプライバシーポリシーを読むのが早いです。

ECOVACS HOMEアプリのプライバシーポリシー（英語版・2025年11月24日最終更新）には、収集対象がはっきり書かれています。要点を挙げます。

• デバイスのビジョンセンサーが作業環境で記録した写真・動画（該当機種の場合）
• 音声・オーディオ情報（該当機種の場合）
• スマホのIPアドレス、システムバージョン、IMEI／MEID
• Wi-FiのSSIDとパスワード

Wi-Fiのパスワードが入っているのは、初期設定で機器をネットにつなぐために必要だからです。仕組み上おかしくはありません。ただ、リストとして眺めると、なかなかの分量ではあります。

保管先はアメリカ。ただし一部は中国へ渡る

同じポリシーには、保管先も書いてあります。

収集・生成された個人情報は、米国にあるエコバックスのサーバに保管されるとされています。そのうえで、音声の録音データは、人による確認・分析・アノテーション・AIモデルの学習のために中国へ転送され、中国に置かれたローカルサーバに保管される、という趣旨の記載があります。

画像についても記載があります。「製品改善プログラム（Product Improvement Plan）」に参加した場合、Live Pictureで取得された画像がエコバックスへ送信され、AIモデルの学習と、物体認識・障害物回避・清掃能力の改善に使われるとされています。さらに、その画像は中国にある関連会社の従業員によって人の目で確認される場合がある、とも書かれています。

ここは大事なので、はっきりさせておきます。これは事故でも流出でもありません。ポリシーに書かれた、同意にもとづく正規の処理です。

そして製品改善プログラムはオプトイン、つまり自分で参加を選ぶ形になっています。参加していなければ、この経路は動きません。

音声アシスタントのマイクは、常に電源が入っている

もうひとつ。ポリシーには、音声対話機能について「マイクは常時アクティブである」という記載があります。ただし、ウェイクワードを認識してから聞き取りを始める、とも書かれています。

スマートスピーカーと同じ設計思想です。驚くほどのことではありません。とはいえ、掃除機にこの機能が載っていることを意識している人は、そう多くないと思います。

なお、ここで引用したのは英語版（グローバル向け）のポリシーです。日本語版の記載が同一かどうかまでは確認できていません。実際に契約するのは日本語版のはずなので、アプリ内から自分の言語のポリシーを開いて確かめるのが確実です。

層3：2024年に何が起きて、メーカーはどう動いたか

層3、つまり第三者による乗っ取りの話に移ります。ここは事実の順番が大事なので、時系列で並べます。

時期	できごと
2023年12月	研究者がエコバックスへ脆弱性を通報。返答は得られなかったと報じられる
2024年8月	DEF CON 32（米ラスベガス）で Dennis Giese 氏、Braelynn Luedtke 氏が発表
2024年8月22日	エコバックスが修正の実施を表明（TechCrunch報道）
2024年秋	米国の複数の州で、DEEBOT X2 が実際に乗っ取られたとの報告
2024年11月	X2シリーズ向けにOTAでのファームウェア更新を提供
2024年12月17日	アプリのTLS証明書検証の不備について、公式セキュリティアドバイザリを公開

発表された内容は、けっこう重いものでした。

TechCrunchの報道によると、最も影響が大きかったのはBluetooth経由の乗っ取りです。約130メートル（450フィート）離れた場所から接続できたとされています。カスペルスキー公式ブログの日本語記事では50メートル以上という表現になっており、条件によって差が出るようです。いずれにせよ、家の外から届く距離ではあります。

接続後は、ロボットのLinux環境に入り込めたとされています。カメラやマイクへのアクセスも可能だったという指摘です。PINコードによる保護はアプリ側で検証する仕組みだったため、迂回できたとも報じられています。

実際に、家の中で起きた

理論上の話で終わらなかったのが、この件のきつかったところです。

2024年の秋、米国の複数の州でDEEBOT X2が乗っ取られたという報告が出ました。カスペルスキー公式ブログ（2025年2月13日）は、ミネソタ州の事例として、ロボットが勝手に動き出しスピーカーから人種差別的な暴言を発した、と紹介しています。カリフォルニア州では飼い犬を追いかけ回し、テキサス州でも所有者に暴言を浴びせた、とされています。

映像の録画機能と遠隔操作機能への不正アクセスが確認された、という記述もあります。

読んでいて、正直ぞっとしました。子どもが留守番している家でこれが起きたら、と考えると笑えません。

メーカーの対応は、遅かったが止まってはいない

エコバックスの動きをどう評価するか。ここは両面あります。

まず、2023年12月の通報に返答がなかった点。研究者が公の場で発表するまで動かなかったのだとすれば、脆弱性ハンドリングとしては褒められません。当初は「過度に心配する必要はない」という趣旨のコメントも出ていました。

一方で、公表後は動いています。2024年8月22日に修正の実施を表明し、11月にはX2シリーズ向けのOTA更新を配信しました。12月には公式のセキュリティアドバイザリも出しています。

現在は、製品セキュリティの報告窓口を公開し、セキュリティ情報の公表と報告者への謝辞を行う運用になっています。窓口とアドバイザリの公開があるかどうかは、私が製品を選ぶときにかなり重く見る点です。ここは評価していい変化だと考えています。

なお、「2024年に指摘された脆弱性は2025年のアップデートですべて修正済み」という記述をいくつかのブログで見かけました。ただ、その根拠となる一次資料を見つけられませんでした。全機種・全項目が解消したと断定するのは避けておきます。

2026年7月のJVNは、家庭用DEEBOTの話ではない

ここが、いま最も誤解されやすいところだと思います。

2026年7月31日、JVNに「JVNVU#92804348」が公表されました（最終更新は8月4日）。ニュースサイトが「ロボット掃除機 DEEBOTに複数の脆弱性」と報じたため、家庭用モデルの話だと受け取った人がいるはずです。

対象は違います。業務用モデルです。

対象	修正バージョン	位置づけ
DEEBOT PRO M1	M1-1.7.27 以降	業務用の床洗浄ロボット
DEEBOT PRO K1VAC	V1.7.821 以降	業務用の清掃ロボット
ECOVACS PRO（Android／iOS）	1.3.82 以降	業務用機の管理アプリ

DEEBOT PROシリーズは、オフィスビル、大学、図書館、病院、商業施設、駅、空港、倉庫といった場所を想定した製品です。家庭用のX2やT30とは、まったく別のラインになります。

つまり、この件をもって「家庭のDEEBOTが危ない」とは言えません。逆に「家庭用は無関係だから読まなくていい」とも思いません。理由は後述します。

並んでいた項目が、なかなかの内容だった

公表された脆弱性は10件です。種別を並べます。

CVE	内容
CVE-2026-66403	デバッグ用途のWebサーバが有効
CVE-2026-66404	MQTT通信におけるサーバ証明書検証の欠如
CVE-2026-66405	telnetサーバが有効
CVE-2026-66406	wget呼び出しにおけるサーバ証明書検証の欠如
CVE-2026-66407	Websocket通信の認証で弱い暗号アルゴリズムを使用
CVE-2026-66408	rootアカウントに弱いパスワード
CVE-2026-66409	Wi-Fiホットスポットに弱いパスワード
CVE-2026-66410	スマートフォンアプリにおける不適切な証明書検証
CVE-2026-66411	Websocket通信における認証処理の不適切な実装
CVE-2021-31698	脆弱なサードパーティ製コンポーネントの利用

想定される影響として、フロアマップやログ情報の取得、Telnet経由でのログイン、管理者権限での任意コード実行、認証なしでのロボット操作などが挙げられています。CVSS基本値が最も高いのはtelnetサーバの項目で、8.8とされています。

開発者の対応については、影響を受ける可能性のあるユーザーへの周知と修正版へのアップデートは完了済みで、ユーザー側の追加対応は不要、と記載されています。

telnetが有効。rootのパスワードが弱い。デバッグ用Webサーバが動いたまま。この並びを見て、何か既視感があった人もいると思います。

発注側から見ると、あのJVNは「仕様で潰せた」項目の一覧に見える

ここからは、私の本業の目線で書きます。

私は自治体の情報システム部門に常駐しているSEです。20年以上、発注する側・受け入れる側にいました。その立場であのCVE一覧を見ると、感想がひとつに集約されます。

半分以上は、調達仕様書で潰せた項目です。

telnetが有効なのも、rootに弱いパスワードが設定されているのも、デバッグ用のWebサーバが残っているのも、製品を作る過程で「消し忘れた」種類のものです。設計上どうしても必要だった、という話ではありません。

なぜこの話を家庭向けの記事に入れるか。公共施設に清掃ロボットが入る例が、実際に出てきているからです。図書館、庁舎のロビー、駅。あの手の機械は建物の中を走り回り、フロアマップを持ち、無線につながります。

ネットワーク屋の目で見れば、それは「勝手に動く測量機材」です。しかも撮った情報をクラウドへ上げます。

発注側が確認すべき5項目

私が仕様の相談を受けたら、最低限これを聞きます。家庭で買うときにも、そのまま使える軸です。

#	確認すること	なぜ聞くのか
1	脆弱性の報告窓口が公開されているか	窓口がない製品は、問題が見つかっても直る保証がない
2	セキュリティ更新の提供期限が明示されているか	「いつまで直してもらえるか」は製品寿命そのもの
3	不要なサービス（telnet、デバッグ用ポート）が停止しているか	今回のJVNで実際に指摘された項目
4	取得したデータの保管先の国と、第三者提供の有無	層2の話。契約で縛れる部分がある
5	ネットワーク分離が可能か（専用SSID、VLAN）	1台の侵害を、そこで止められるようにする

1と2は、家電量販店の店頭では絶対に説明されません。でも、この2つが一番効きます。窓口と更新提供期限がある製品は、問題が出たときに直る見込みがある。それだけのことですが、決定的な差です。

余談ですが、こういう項目を仕様に入れようとすると「前例がない」で止まることがあります。前例がないのは、単にこれまで清掃ロボットを調達したことがなかったからです。前例のなさは、危険性の低さを意味しません。

JC-STARという、公的なものさしが使えるようになった

「そんなの一般人には確認できない」と思われたかもしれません。実は、確認する手段が用意され始めています。

IPA（情報処理推進機構）が運営するJC-STAR、正式には「セキュリティ要件適合評価及びラベリング制度」です。IoT製品がセキュリティ要件を満たしているかを評価し、ラベルで見えるようにする国の制度です。経済産業省とIPAが進めています。

• 2025年3月25日から申請受付を開始
• 2025年5月21日に★1適合ラベルの交付を開始（初回は11社26申請、477製品型番が対象）
• レベルは★1から★4。★1は全IoT製品共通の要件、★2以上は製品類型ごとの要件
• 国際的な基準（ETSI EN 303 645、NISTIR 8425）と整合を取る形で設計されている

適合ラベルを取得した製品は、IPAのサイトで一覧公開されています。プリンタ、ルータ、ネットワークカメラ、エアコン、給湯機、ドアホンなど、カテゴリごとに引けます。2026年2月にはネットワークカメラの★3要件も公開されました。

つまり、メーカーの自己申告ではなく、第三者の評価を通った製品かどうかを、買う前に自分で調べられます。

ただ、正直に書いておきます。私が2026年8月時点で一覧を確認した範囲では、エコバックス製のロボット掃除機は見つけられませんでした。リストは随時更新されるので、断定はしません。購入を検討している方は、ご自身で最新の一覧を引いてみてください。

ラベルがないこと自体は、危険であることを意味しません。制度が始まって1年ほどで、取得は任意です。ただ「取っている製品がある」という事実は、選ぶ側の判断材料になります。

ここが落とし穴

安全性の話は、対策すれば終わりではありません。抜けやすい点を挙げます。

カメラを切っても、間取りは残る

映像が心配だからカメラをオフにする。妥当な判断です。ただ、それでマッピングは止まりません。

ロボット掃除機の本体機能は、部屋の形を測って効率よく走ることです。LiDARやセンサーで作られた間取り図は、カメラとは別系統で生成されます。家の広さ、部屋数、家具の配置。これらは映像がなくても残ります。

間取り図そのものが致命的な情報だとは思いません。ただ「カメラを切ったから何も残っていない」は誤解です。

家の中にカメラを置くこと自体をどう考えるかは、ネットワークカメラの記事で詳しく扱っています。撮られた映像がどこを通るのかを追いかけた回です。

アカウントを削除しても、クラウドのデータが消えるとは限らない

2024年の研究発表では、ユーザーがアカウントを削除しても、データや認証トークンがエコバックスのサーバに残っていた、と指摘されました。

これが厄介なのは、中古売買のときです。前の持ち主が引き続きアクセスできる状態が残れば、新しい持ち主の家を覗ける理屈になります。この点が現在どうなっているかは、公開情報からは確認できませんでした。

中古で売る・買うときが、一番危ない

前項の続きです。ロボット掃除機は、家の間取りとWi-Fiパスワードを持っています。売る前にすることは、ゴミパックを捨てることではありません。

アプリ側でのマップ削除、アカウントとの紐付け解除、本体の初期化。この3つです。買う側も、受け取ったら真っ先に初期化してから自分のアカウントに紐付けるべきです。

掃除機だけ守っても、入口は他にある

カスペルスキーの記事では、侵害されたロボット掃除機が、同じネットワーク上のスマホ、PC、スマートテレビへの攻撃の足がかりになる可能性が指摘されています。

逆も言えます。掃除機を丁寧に設定しても、同じLANに初期パスワードのままのネットワークカメラがいれば、そこから入られます。IoT機器は、一番弱い1台で全体の水準が決まります。

IPAも、ネットワークカメラや家庭用ルータについて、利用前に必ずパスワードを変更するよう注意喚起しています。掃除機を疑う前に、ルータの管理画面のパスワードを確認したほうが効果が大きい家庭は、けっこう多いはずです。

家の中のIoT機器を一台ずつ点検していくなら、こちらもあわせてどうぞ。SwitchBotを題材に、ハブ・鍵・Wi-Fiまわりの落とし穴をまとめています。

サポート期間が書かれていない

家電のセキュリティ更新は、いつまで提供されるのか。ロボット掃除機は5年、10年と使う製品です。その間ずっと更新が出るとは限りません。

購入前に、その製品のセキュリティ更新提供期限を探してみてください。見つからない場合、「わからない」が答えになります。

筆者が自宅のDEEBOTでやっていること

偉そうに書いてきましたが、私も自宅でDEEBOTを使っています。使うのをやめる気はありません。そのうえで、やっていることを並べます。

やっていること	効く層	手間
製品改善プログラムに参加していない状態を、アプリで確認する	層2	1分
ファームウェアの自動更新を有効にする	層3	1分
アカウントのパスワードを使い回さない。二要素認証があれば有効化	層3	5分
ゲスト用SSIDなど、PCと分けたネットワークにつなぐ	層3	30分
寝室や書類を置いた部屋を、進入禁止エリアに設定する	層2・層3	10分
使わない日は電源を切る、または充電台から外す	層3	0分

上から3つは、正直やらない理由がありません。合計10分もかかりません。

4つ目のネットワーク分離は、少し面倒です。ルータによってはゲストSSIDから同一LAN内の他機器へ通信できない設定にでき、その場合は効果が高くなります。仕事で同じことを大がかりにやっているので、自宅では簡易版という位置づけです。

進入禁止エリアの設定は、意外と効きます。書類やホワイトボードを置いた部屋に入らせない。撮られたら困るものがある空間に、そもそも近づけない。これは層2と層3の両方に効く、数少ない対策です。

設定項目の名称は、機種とアプリのバージョンによって変わります。手元の画面と見比べながら探してみてください。

買っていいか、やめるか

判断の分かれ道です。両論を並べます。

私の立場をはっきりさせておくと、条件付きで「買っていい」と考えています。ただし条件が満たせない人には勧めません。

あなたの状況	おすすめ度	理由
ファームウェアの自動更新をオンにでき、アプリの設定を自分で見直せる	買っていい	層3のリスクは更新の適用で大きく下がる。層2は設定で減らせる
ルータでゲストSSIDやVLANを分けられる	買っていい	1台侵害されても、そこで止められる可能性が高まる
家に人がいない時間帯にしか動かさない	買っていい	音声や生活音の収集機会が減る。マイクの心配が相対的に小さくなる
設定を触るのが苦手。買ったまま使いたい	カメラ・マイク非搭載モデルを検討	撮られる映像がなければ、映像流出の可能性は構造的になくなる
在宅勤務で機密情報を扱う部屋がある	その部屋を進入禁止に。無理なら非搭載モデル	業務情報が写り込むリスクは、個人の設定では負いきれない
中古で買おうとしている	慎重に	前所有者の紐付けが残る可能性。初期化を必ず自分の手で

カメラ非搭載モデルという選択肢は、もっと知られていいと思います。障害物回避の性能は落ちます。ただ、そもそも映像を撮らない機械は、映像を漏らしようがありません。設定に自信がないなら、これが一番確実な打ち手です。

セキュリティの世界には「リスクを受容する」という考え方があります。ゼロにできないものを、理解したうえで受け入れる。私が自宅でDEEBOTを使っているのは、まさにこれです。安全だと思っているからではありません。何を差し出しているかを把握したうえで、便利さと釣り合っていると判断しているだけです。

まとめ

• DEEBOTの安全性は、物理的な安全（層1）、メーカーによるデータ取り扱い（層2）、第三者による乗っ取り（層3）に分けて考える
• 層2はメーカーが合法的に行う処理。修正では消えず、アプリの同意設定で減らす領域になる
• 公式プライバシーポリシー（英語版・2025年11月24日最終更新）では、保管先は米国のサーバ、音声の録音や製品改善プログラム参加時の画像は中国での確認・学習に使われる旨が記載されている
• 層3では、2024年8月のDEF CON 32での発表と、同年秋の実際の乗っ取り報告があった。エコバックスは公表後に修正を表明し、11月にOTA更新、12月にアドバイザリを公開した
• 2026年7月31日公表のJVNVU#92804348は、業務用のDEEBOT PRO M1／K1VACとECOVACS PROアプリが対象。家庭用モデルの脆弱性ではない
• そのJVNに並んだ項目（telnet有効、rootの弱いパスワードなど）の多くは、調達仕様で確認できた種類のものだと筆者は考えている
• 買う前に見るべきは、脆弱性の報告窓口の有無と、セキュリティ更新の提供期限。この2つが最も効く
• IPAのJC-STAR適合ラベル取得製品リストは誰でも引ける。第三者評価を通った製品かどうかを、買う前に自分で確認できる
• 設定を自分で見直せる人には選択肢になる。難しいと感じるなら、カメラ・マイク非搭載モデルのほうが確実

「絶対に安全なロボット掃除機」は存在しません。ネットにつながる機械である以上、リスクはゼロにできない。できるのは、何を差し出しているかを知って、釣り合いを自分で決めることだけだと考えています。

引っかかった点

書きながら3か所で詰まりました。

ひとつは、Bluetooth経由の攻撃距離です。TechCrunchは約130メートル、カスペルスキーの日本語記事は50メートル以上としています。おそらく測定条件の違いですが、どちらが正しいとは判断できませんでした。本文では両方の出典を添えています。

もうひとつは、2024年に指摘された脆弱性が現在すべて解消しているかどうか。「2025年のアップデートで全部直った」と書いているサイトがいくつかありましたが、根拠となる一次資料に行き着けませんでした。X2シリーズへのOTA提供は確認できます。全機種・全項目の解消は、確認できていません。

3つ目は、アカウント削除後にクラウド側のデータとトークンが残る問題です。2024年に指摘された点が、現在どう扱われているのか。公開情報の範囲では答えが出ませんでした。中古売買を考えている人にとっては重要な論点なので、続報が出たら追記します。

参考にした一次資料

• JVNVU#92804348（JPCERT/CC・IPA、2026年7月31日公表／8月4日更新）
• ECOVACS HOME Privacy Policy（英語版、最終更新2025年11月24日）
• ECOVACS GLOBAL「Security Advisory – Missing TLS Certificate Validation in App」（2024年12月17日）
• ECOVACS GLOBAL「Report security or privacy vulnerability issues」
• IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」
• IPA「適合ラベル取得製品リスト」
• IPA「IoTのセキュリティ」
• TechCrunch「Ecovacs home robots can be hacked to spy on their owners, researchers say」（2024年8月9日）
• TechCrunch「Ecovacs says it will fix bugs that can be abused to spy on robot owners」（2024年8月22日）
• カスペルスキー公式ブログ「Ecovacs製ロボット掃除機の脆弱性とハッキングの現状」（2025年2月13日）
• ECOVACS Japan「DEEBOT PRO M1」製品ページ