Una grave vulnerabilidad en el robot aspirador DJI Romo permitió el acceso remoto a miles de dispositivos domésticos

Un fallo de seguridad en el robot aspirador DJI Romo, el primer modelo de este tipo lanzado por el fabricante de drones DJI, ha puesto en evidencia importantes carencias en la protección de dispositivos domésticos conectados. El problema fue descubierto de forma accidental por Sammy Azdoufal, un especialista en inteligencia artificial que simplemente intentaba controlar su aspiradora con un mando DualSense de PlayStation 5. Al usar una aplicación de control remoto, el sistema le dio acceso no solo a su propio dispositivo, sino también a miles de unidades repartidas por todo el mundo.

Según explicó, pudo conectarse a unos 6.700 robots aspiradores en hasta 24 países, además de acceder a más de 10.000 dispositivos de la marca, incluidas estaciones de energía portátiles. La vulnerabilidad permitía ver la ubicación aproximada de cada aspiradora, conocer su estado, controlar sus movimientos y, lo más preocupante, acceder a la cámara y al micrófono integrados. Con esta información era posible reconstruir planos detallados de viviendas ajenas y observar en tiempo real lo que ocurría en su interior.

El fallo se debía a una incorrecta validación de permisos en el backend de DJI, relacionada con la comunicación MQTT entre los dispositivos y los servidores. Bastaba un único token de autenticación para acceder a todos los robots disponibles, sin necesidad de superar medidas de seguridad adicionales. Aunque DJI afirmó haber corregido el problema y desplegado una actualización automática, el investigador sostiene que aún quedan vulnerabilidades abiertas, como el acceso a transmisiones de vídeo sin PIN. El caso reabre el debate sobre la seguridad y la privacidad en el hogar conectado.