Uma brecha de segurança significativa foi identificada nos sistemas do aspirador robô DJI Romo, permitindo que terceiros acessassem remotamente sensores de milhares de unidades em operação. A falha no protocolo de autenticação expôs dados sensíveis de residências em diversos países, incluindo transmissões de vídeo ao vivo e áudio captado pelos microfones integrados aos aparelhos. O problema foi descoberto acidentalmente por um engenheiro de software e reportado à fabricante, que implementou correções em seus servidores em fevereiro de 2026 para mitigar os riscos aos consumidores.
A vulnerabilidade foi detectada pelo pesquisador de segurança Sammy Azdoufal durante testes de integração de hardware com o dispositivo. Ao analisar o tráfego de dados entre o robô e a nuvem da fabricante, o especialista notou que as credenciais de acesso não possuíam a validação adequada de isolamento. Isso significava que, com um único token de autenticação válido, era possível interceptar a comunicação de outros aspiradores conectados à mesma infraestrutura de rede, sem que os proprietários percebessem a intrusão.
O incidente levantou preocupações imediatas sobre a privacidade no segmento de automação residencial, visto que o acesso indevido permitia visualizar plantas baixas detalhadas das casas mapeadas pelos robôs. Além das imagens e sons, informações de geolocalização aproximada e dados de telemetria dos dispositivos ficaram expostos. A DJI, empresa chinesa líder no mercado de drones e robótica, confirmou a existência da falha e agiu para fechar a brecha de segurança antes que ela pudesse ser explorada em larga escala por agentes maliciosos.
Descoberta técnica da falha de autenticação
O processo que levou à identificação do erro começou quando Azdoufal tentava conectar um controle de PlayStation 5 ao seu DJI Romo para operá-lo manualmente. O engenheiro, que adquiriu o equipamento por cerca de dois mil dólares, utilizou ferramentas de monitoramento de rede para entender como o aplicativo oficial se comunicava com o robô. Durante essa análise, ele extraiu o token de sessão gerado pelo seu próprio login e percebeu anomalias nas respostas do servidor.
Ao testar os limites desse token, o pesquisador descobriu que o sistema backend da DJI não restringia o acesso apenas ao dispositivo vinculado àquela conta específica. O servidor respondia a requisições de dados de qualquer robô conectado à rede global da empresa, desde que o solicitante possuísse um formato de credencial válido. Essa falha de configuração permitiu que Azdoufal recebesse fluxos de dados de milhares de outros aparelhos, demonstrando a gravidade do erro na gestão de permissões.
A análise técnica apontou que o problema residia na implementação do protocolo MQTT, amplamente utilizado em dispositivos de Internet das Coisas (IoT) para comunicação leve e rápida. A infraestrutura da DJI permitia que um usuário se inscrevesse em tópicos globais de mensagens, recebendo atualizações de status e mídia de outros usuários. Em poucos minutos de teste, foi possível coletar mais de cem mil mensagens contendo informações privadas, comprovando a facilidade de exploração da vulnerabilidade.
Impacto global e dados expostos
A extensão da falha atingiu proporções globais, afetando aproximadamente sete mil unidades do DJI Romo distribuídas por 24 países. A diversidade geográfica dos dispositivos comprometidos incluiu usuários na América do Norte, Europa e Ásia, destacando o alcance da infraestrutura de nuvem da empresa. A exposição não se limitou a metadados técnicos, mas incluiu elementos que comprometem diretamente a intimidade e a segurança física dos lares onde os robôs operam.
Entre os dados mais críticos acessíveis pela brecha estavam os feeds de vídeo das câmeras de navegação e o áudio dos microfones ambientais. O DJI Romo utiliza sensores avançados, como LiDAR e câmeras ópticas, para criar mapas tridimensionais dos ambientes, identificando móveis, obstáculos e a disposição dos cômodos. O acesso a esses mapas permite a reconstrução virtual do interior das residências, oferecendo informações detalhadas sobre a rotina e o layout das casas dos usuários.
Especialistas em segurança digital alertam que esse tipo de exposição facilita ações de espionagem e monitoramento não autorizado. A possibilidade de ativar remotamente os sensores do robô transforma o dispositivo em uma ferramenta de vigilância involuntária. Embora a DJI afirme que a comunicação era criptografada via TLS, a ausência de uma verificação rigorosa de autorização no servidor anulou essa proteção, permitindo que usuários autenticados, porém não autorizados, vissem o conteúdo descriptografado.
Resposta da DJI e medidas de correção
Após ser notificada sobre a vulnerabilidade, a DJI iniciou uma revisão interna de seus sistemas no final de janeiro de 2026. A empresa reconheceu a falha na configuração do broker MQTT e desenvolveu uma solução que foi aplicada diretamente em seus servidores. As correções foram implementadas em duas etapas principais, nos dias 8 e 10 de fevereiro, garantindo que o acesso aos dados fosse estritamente limitado ao proprietário legítimo de cada dispositivo.
A atualização foi realizada no lado do servidor (server-side), o que dispensou a necessidade de os usuários baixarem novos firmwares ou atualizarem manualmente o aplicativo do robô. A DJI modificou as regras de permissão para impedir a subscrição em tópicos que não pertencessem ao identificador único do usuário logado. A empresa assegurou que, após a aplicação do patch, a exploração demonstrada por Azdoufal não era mais possível e que medidas adicionais de monitoramento foram ativadas.
Em comunicado, a fabricante enfatizou que não foram encontrados indícios de que a falha tenha sido explorada por hackers maliciosos antes da descoberta do pesquisador. A DJI reiterou seu compromisso com a segurança de dados e prometeu reforçar os protocolos de desenvolvimento para evitar ocorrências similares no futuro. A rapidez na resposta foi vista como positiva, mas o incidente reacendeu debates sobre a segurança de produtos conectados que dependem de processamento em nuvem.
Desafios de segurança na Internet das Coisas
O caso do DJI Romo ilustra os desafios contínuos enfrentados pelo setor de Internet das Coisas, onde a conveniência da conectividade muitas vezes precede a robustez da segurança. Com projeções de vendas globais de robôs domésticos ultrapassando 20 milhões de unidades anuais até 2027, a quantidade de dados sensíveis trafegando por servidores corporativos cresce exponencialmente. A dependência de serviços em nuvem para funcionalidades avançadas, como reconhecimento de objetos por inteligência artificial, cria vetores de ataque que precisam ser protegidos com rigor.
Organizações de defesa do consumidor e entidades reguladoras têm pressionado por padrões mais estritos de segurança para dispositivos IoT. A falha de validação de permissões, como a ocorrida com a DJI, representa uma parcela significativa das vulnerabilidades reportadas anualmente. A implementação de autenticação multifator e a segmentação de dados são recomendadas como práticas essenciais para mitigar riscos em ecossistemas conectados, especialmente aqueles que envolvem câmeras e microfones dentro de casa.
A legislação de proteção de dados, como a GDPR na Europa e leis similares em outros territórios, impõe penalidades severas para vazamentos de informações pessoais. A DJI, operando em um mercado global e sob escrutínio devido à sua origem e liderança tecnológica, enfrenta o desafio de manter a confiança dos usuários enquanto inova. O episódio serve como um alerta para que fabricantes priorizem auditorias de segurança independentes e programas de recompensa por bugs antes do lançamento comercial de seus produtos.
Recomendações para usuários de dispositivos conectados
Embora a correção da DJI tenha sido automática, especialistas recomendam que proprietários de dispositivos inteligentes adotem posturas proativas em relação à segurança digital. A verificação constante de atualizações de software é a primeira linha de defesa contra vulnerabilidades conhecidas. Manter os aplicativos de controle sempre na versão mais recente garante que patches de segurança e melhorias de funcionalidade estejam ativos.
Outra medida importante é a revisão das permissões concedidas aos aplicativos e dispositivos. Desativar câmeras e microfones quando não estão em uso ou quando a funcionalidade não é essencial pode reduzir a superfície de ataque em caso de invasão. A utilização de redes Wi-Fi seguras e, se possível, segmentadas para dispositivos IoT, impede que um aparelho comprometido sirva de porta de entrada para computadores e smartphones pessoais na mesma rede.
A conscientização sobre os dados coletados pelos aparelhos domésticos é fundamental. Usuários devem estar cientes de que mapas de limpeza e registros de atividade são armazenados em servidores externos. Optar por marcas que oferecem transparência sobre o tratamento dessas informações e que possuem histórico comprovado de resposta rápida a incidentes de segurança é uma estratégia prudente para quem busca automatizar a residência sem abrir mão da privacidade.
