Un fallo en el robot DJI ROMO expone 6.700 hogares en todo el mundo
Lo que comenzó como un experimento casero para controlar una aspiradora con un mando de PS5 terminó revelando una brecha crítica. Sammy Azdoufal, un experto en IA, logró acceder accidentalmente a la actividad de miles de dispositivos DJI ROMO a nivel global, poniendo en jaque la privacidad del hogar conectado.
Azdoufal no necesitó un ataque sofisticado a los servidores de la compañía. Al realizar ingeniería inversa sobre su propia unidad utilizando la herramienta Claude Code, descubrió que los servidores de DJI no validaban correctamente los permisos de los mensajes. En apenas nueve minutos, su sistema detectó 6.700 robots en 24 países.
Vigilancia involuntaria
"No hablamos de un electrodoméstico cualquiera, sino de un dispositivo con sensores, cámara y micrófono dentro del hogar".
Privacidad en entredicho: El protocolo MQTT, estándar en la industria IoT, fue el vehículo de la brecha. Los robots reportaban en tiempo real números de serie, mapas de estancias, recorridos exactos y estados de carga a cualquier usuario que poseyera una credencial válida, sin filtrar si era el dueño legítimo de esos dispositivos específicos.
La respuesta de DJI: La compañía reconoció un "problema de validación de permisos de backend" y desplegó dos parches de urgencia entre el 8 y el 10 de febrero. Aunque aseguran que el acceso no autorizado fue "extremadamente raro", el caso ha reabierto el debate sobre cómo se auditan estos sistemas antes de entrar en nuestras casas.
El precio de la conectividad
Tras años dominando los cielos con sus drones, el salto de DJI al suelo doméstico con la línea ROMO ha traído consigo los mismos retos de seguridad que enfrentan otros gigantes tecnológicos. La integración de LiDAR y cámaras para generar mapas precisos convierte a estos robots en plataformas de datos continuos.
Este incidente sirve como recordatorio: en el hogar conectado, la comodidad de gestionar la limpieza desde una App tiene un coste potencial en términos de exposición. El "asistente" que limpia tu salón también podría estar abriendo una ventana digital a desconocidos si la infraestructura de la nube falla.