Curiosidad y riesgo. La historia comienza con algo bastante más trivial de lo que cabría imaginar. Sammy Azdoufal, director de estrategia de IA en una empresa de alquiler vacacional, solo quería controlar su propio DJI ROMO con un mando de PS5 “porque era divertido”, según explicó The Verge. Para ello desarrolló una aplicación casera que empezó a comunicarse con los servidores de DJI. Lo fue inesperado que no respondió únicamente su aspiradora. En lugar de un único dispositivo, comenzaron a aparecer millas, repartidos por distintos países, que lo reconocían como si fuese su propietario.
Qué podía ver y controlar. Lo que vino después es lo que realmente cambia el tono de la historia. Durante una demostración en directo, Azdoufal mostró cómo su herramienta iba detectando dispositivos en tiempo real: en apenas nueve minutos había catalogado 6.700 robots en 24 países y recopilado más de 100.000 mensajes enviados por ellos. Cada uno reportaba información cada pocos segundos a través de un protocolo llamado MQTThabitual en dispositivos conectados, indicando su número de serie, qué estancia estaban limpiando, cuánto habían recorrido o cuándo regresaron a la base de carga.
Según explicó el propio Azdoufal, no necesitó “hackear” los servidores de la compañía en el sentido clásico. Lo que hizo fue analizar cómo se comunicaba su propia ROMO con la infraestructura de DJI y extraer el token privado asociado a su dispositivo, es decir, la credencial que le permite autenticarse ante el sistema. Para descifrar esos protocolos recurrió a la conocida herramienta de IA Claude Code, que utilizó como apoyo en el proceso de ingeniería inversa. El problema, siempre según su versión, es que una vez autenticado como cliente válido, los servidores no limitaron adecuadamente qué mensajes podían suscribirse a recibir.
La versión oficial y los parches. La compañía sostiene que detectó la vulnerabilidad a finales de enero mediante una revisión interna y que inició la remediación de inmediata. Según su comunicado, desplegó un primer parche el 8 de febrero y una segunda actualización el 10 de febrero para cubrir los nodos que no habían recibido la corrección inicial. DJI admite “un problema de validación de permisos de backend” relacionado con la comunicación MQTT entre dispositivo y servidor, aunque asegura que el acceso no autorizado fue “extremadamente raro”. También subraya que la transmisión estaba cifrada mediante TLS y que los datos de dispositivos europeos se almacenan en infraestructura de AWS ubicada en Estados Unidos.
Preguntas sobre la mesa. Si un usuario pudo detectar ese nivel de exposición casi por accidente, cabe preguntarse cómo se auditan internamente estos sistemas y qué controles existen antes de que un producto llegue al mercado. No hablamos de un electrodoméstico cualquiera, sino de un dispositivo con sensores, cámara y conectividad permanente dentro del hogar. El propio Azdoufal cuestionaba incluso la presencia de un micrófono en una aspiradora. No es un debate nuevo: en los últimos años otros fabricantes han afrontado incidentes similares con robots capaces de transmitir vídeo o almacenar imágenes.
Un cambio de escenario para DJI. Tras años dominando el aire con drones y sistemas de estabilización, la compañía decidió aplicar su ingeniería al suelo doméstico. El resultado fue DJI ROMO, un robot aspirador que combina sensores ópticos y LiDAR para generar mapas precisos y evitar obstáculos, apoyado en algoritmos de planificación y en la aplicación DJI Home para gestionar zonas, modos y alertas. No es un simple electrodoméstico mecánico, sino una plataforma conectada que depende de datos continuos para funcionar con esa precisión. Y ahí es donde la seguridad adquiere un papel determinante.
Imágenes | dji
En Xataka | Cada cuánto debemos cambiar TODAS nuestras contraseñas según tres expertos en ciberseguridad
