Ένας Ισπανός μηχανικός λογισμικού ανακάλυψε μια σοβαρή ευπάθεια ασφαλείας στην ηλεκτρική σκούπα ρομπότ DJI Romo, που κυκλοφόρησε τον Φεβρουάριο του 2026 από την κινεζική εταιρεία. Το Sammy Azdoufal προορίζεται μόνο για τη δημιουργία μιας προσαρμοσμένης εφαρμογής για τον έλεγχο της δικής σας συσκευής με ένα χειριστήριο PlayStation 5. Durante το πείραμα, είχε πρόσβαση σε δεδομένα από περίπου 7 χιλιάδες μονάδες σε τουλάχιστον 24 χώρες. Το ελάττωμα επέτρεψε την προβολή ζωντανών ροών κάμερας, ήχου μικροφώνου, κατόψεων σπιτιού και κατά προσέγγιση τοποθεσιών με βάση τις διευθύνσεις IP.
Το περιστατικό συνέβη επειδή το διακριτικό ελέγχου ταυτότητας που εξήχθη από τη συσκευή του Azdoufal χρησίμευε ως κύριο κλειδί στους διακομιστές της DJI. Ο Ele δεν χρειάστηκε να εισβάλει σε συστήματα ή να χρησιμοποιήσει ωμή βία. Το πρωτόκολλο MQTT, που χρησιμοποιείται για την επικοινωνία μεταξύ ρομπότ και του cloud, δεν επικύρωσε σωστά τα δικαιώματα ανά συσκευή. Το Isso είχε ως αποτέλεσμα τη μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητες πληροφορίες χιλιάδων χρηστών εν αγνοία τους.
Η DJI επιβεβαίωσε την ύπαρξη του προβλήματος κατόπιν ειδοποίησης. Η εταιρεία πραγματοποίησε διορθώσεις σε δύο αυτόματες ενημερώσεις στις αρχές Φεβρουαρίου 2026. Οι ενημερώσεις Essas περιόρισαν τη μη εξουσιοδοτημένη πρόσβαση και εφαρμόστηκαν χωρίς την ανάγκη παρέμβασης από τους κατόχους συσκευών. Το ελάττωμα επηρέασε κυρίως την επικοινωνία που βασίζεται στο MQTT μεταξύ συσκευών και του διακομιστή cloud.
Ανακάλυψη κατά τη διάρκεια του πειράματος στο σπίτι
Ο Sammy Azdoufal χρησιμοποίησε το εργαλείο AI Claude του Anthropic για να αναλύσει το πρωτόκολλο επικοινωνίας του Romo. Ο Ele ανέπτυξε έναν προσαρμοσμένο πελάτη που αντιστοιχούσε τις εντολές του ελεγκτή PS5 στις κινήσεις του ρομπότ. Ο στόχος ήταν να γίνει η επέμβαση πιο διασκεδαστική, παρόμοια με ένα παιχνίδι.
Κατά τη διάρκεια της δοκιμής, η εφαρμογή συνδέθηκε στον διακομιστή DJI. Αντί να λαμβάνει δεδομένα μόνο από το Romo σας, έλαβε πληροφορίες από χιλιάδες άλλες συσκευές. Ο Azdoufal ήταν σε θέση να ελέγχει από απόσταση τις συσκευές, να ελέγχει τα επίπεδα της μπαταρίας και να παρατηρεί τι κατέγραψαν οι κάμερες σε πραγματικό χρόνο.
Επέδειξε πρόσβαση σε πραγματικό χρόνο για τους δημοσιογράφους. Μέσα σε λίγα μόνο λεπτά, συγκέντρωσε περισσότερα από 100.000 μηνύματα τηλεμετρίας που στέλνονταν από ρομπότ κάθε λίγα δευτερόλεπτα. Τα δεδομένα περιελάμβαναν κατάσταση καθαρισμού, εντοπισμένα εμπόδια και χάρτες που δημιουργήθηκαν από τους αισθητήρες.
Πώς λειτούργησε το τεχνικό κενό
Το πρωτόκολλο MQTT επιτρέπει στις συσκευές να δημοσιεύουν και να εγγράφονται σε θέματα μηνυμάτων με απλό τρόπο. Στην περίπτωση του Romo, οι συσκευές έστελναν σταθερά πακέτα με σειριακό αριθμό, κατάσταση και οπτικά δεδομένα. Ο διακομιστής δεχόταν ευρείες συνδρομές χωρίς περιορισμούς ανά μεμονωμένο διακριτικό.
Ο έλεγχος ταυτότητας δεν συνέδεσε το διακριτικό με μια συγκεκριμένη συσκευή. Qualquer έγκυρο διακριτικό επιτρέπεται ευρεία πρόσβαση. Το Isso εμφάνισε όχι μόνο το βίντεο και τον ήχο, αλλά και λεπτομερείς κατόψεις των κατοικιών.
Οι ειδικοί στον τομέα της κυβερνοασφάλειας επισημαίνουν ότι παρόμοια ελαττώματα εμφανίζονται σε συσκευές IoT όταν τα στοιχεία ελέγχου πρόσβασης στο cloud είναι ανεπαρκή. Το περιστατικό ενισχύει τους κινδύνους σε συνδεδεμένα προϊόντα που χαρτογραφούν εσωτερικά περιβάλλοντα.
Απόκριση DJI και εφαρμοσμένες διορθώσεις
Η DJI ξεκίνησε τις εσωτερικές διορθώσεις τον Ιανουάριο του 2026. Η Após επικοινώνησε με την Azdoufal και τα καταστήματα Τύπου, η εταιρεία επιτάχυνε τις ενημερώσεις. Οι ενημερώσεις κώδικα Duas στάλθηκαν αυτόματα στις 8 και 10 Φεβρουαρίου.
Η εταιρεία δήλωσε ότι το πρόβλημα επιλύθηκε και ότι η αποκατάσταση ήταν ήδη σε εξέλιξη πριν από τη δημόσια αποκάλυψη. Μια εκπρόσωπος εξήγησε ότι η ευπάθεια περιελάμβανε την επικύρωση αδειών στο backend.
Ο Azdoufal σημείωσε ότι ορισμένα δευτερεύοντα ζητήματα παρέμειναν αρχικά, όπως η πρόσβαση σε ροές βίντεο χωρίς PIN ασφαλείας. Η DJI έχει υποσχεθεί να αντιμετωπίσει αυτά τα πρόσθετα σημεία σε μελλοντικές ενημερώσεις.
Κίνδυνοι για τους χρήστες έξυπνων συσκευών
Οι σκούπες ρομπότ με κάμερες και μικρόφωνα αντιπροσωπεύουν πιθανούς στόχους σε συνδεδεμένα οικιακά δίκτυα. Το μη εξουσιοδοτημένο Acesso μπορεί να αποκαλύψει καθημερινές ρουτίνες, οικιακές διατάξεις και ιδιωτικές συνομιλίες. Τα προηγούμενα Casos με άλλες επωνυμίες έχουν δείξει παρόμοια κατάχρηση.
Το περιστατικό υπογραμμίζει την ανάγκη για αυστηρό έλεγχο ταυτότητας στα πρωτόκολλα IoT. Το Tokens πρέπει να έχει εμβέλεια ανά συσκευή και περιορισμένες συνδρομές. Το Fabricantes πρέπει να δοκιμάσει θέματα μπαλαντέρ και επικυρώσεις αδειών.
Οι χρήστες πρέπει να διατηρούν ενημερωμένο υλικολογισμικό και να τμηματοποιούν δίκτυα για έξυπνες συσκευές. Το απλό Medidas μειώνει την έκθεση σε συνδεδεμένα οικοσυστήματα.
Επιπτώσεις στην αγορά οικιακών ρομπότ
Το DJI Romo έχει εισέλθει στο τμήμα κενού ρομπότ με προηγμένες λειτουργίες χαρτογράφησης και κάμερας. Η αποτυχία σημειώθηκε λίγο μετά την παγκόσμια κυκλοφορία. Το Isso μπορεί να επηρεάσει την εμπιστοσύνη στα προϊόντα της μάρκας, γνωστά για τα drones.
Οι εταιρείες του κλάδου αντιμετωπίζουν αυξανόμενη πίεση για ασφάλεια. Το Incidentes δηλώνει ότι η ευκολία συνδεσιμότητας απαιτεί αυστηρή παρακολούθηση. Η υπόθεση χρησιμεύει ως προειδοποίηση για ολόκληρη την εγχώρια βιομηχανία IoT.
Ο Azdoufal μοιράστηκε τον κωδικό του για τον έλεγχο του gamepad μετά τις επιδιορθώσεις. Η Ele τόνισε ότι δεν διερεύνησε τα δεδομένα και ανέφερε αμέσως το πρόβλημα.