Cette découverte a été faite par l'équipe de sécurité informatique de Zimperium, qui en explique le fonctionnement sur son blog. La trottinette électrique peut être contrôlée en Bluetooth, via une application sur son smartphone, dont l'accès est protégé par un mot de passe.

« Au cours de nos recherches, nous avons remarqué que le mot de passe n’est pas utilisé correctement dans le cadre du processus d’authentification avec la trottinette et que toutes les commandes peuvent être exécutées sans le mot de passe », expliquent les chercheurs.

Un pirate pourrait donc utiliser cette brèche pour contrôler à distance toutes les fonctionnalités disponibles dans l'application Xiaomi (dont la mise à jour du firmware), sans avoir besoin de la moindre authentification. Arrêter la trottinette, la ralentir ou accélérer devient alors possible. Une vidéo de démonstration a été mise en ligne.

Xiaomi a été prévenu en amont de la publication par Zimperium. La société a répondu aux chercheurs que la faille était déjà connue publiquement et qu'elle provenait d'une tierce partie. Rien par contre sur l'arrivée d'un éventuel correctif.