Lỗ hổng bảo mật làm lộ camera và bản đồ của 7.000 robot hút bụi DJI Romo ở 24 quốc gia

Một kỹ sư phần mềm người Tây Ban Nha đã phát hiện ra lỗ hổng bảo mật nghiêm trọng trong robot hút bụi DJI Romo, được công ty Trung Quốc ra mắt vào tháng 2 năm 2026. Sammy Azdoufal chỉ có ý định tạo một ứng dụng tùy chỉnh để điều khiển thiết bị của riêng mình bằng bộ điều khiển PlayStation 5. Trong quá trình thử nghiệm, anh đã truy cập dữ liệu từ khoảng 7.000 đơn vị ở ít nhất 24 quốc gia. Lỗ hổng cho phép xem nguồn cấp dữ liệu camera trực tiếp, âm thanh micrô, sơ đồ tầng nhà và vị trí gần đúng dựa trên địa chỉ IP.

Sự cố xảy ra do token xác thực được trích xuất từ ​​thiết bị của Azdoufal đóng vai trò là khóa chính trên máy chủ của DJI. Anh ta không cần phải đột nhập vào hệ thống hoặc sử dụng vũ lực. Giao thức MQTT, được sử dụng để liên lạc giữa robot và đám mây, đã không xác thực chính xác các quyền trên mỗi thiết bị. Điều này dẫn đến việc hàng nghìn người dùng truy cập trái phép vào thông tin nhạy cảm mà họ không hề hay biết.

DJI đã xác nhận sự tồn tại của vấn đề sau khi thông báo. Công ty đã thực hiện sửa lỗi trong hai bản cập nhật tự động vào đầu tháng 2 năm 2026. Những bản cập nhật này hạn chế quyền truy cập trái phép và được áp dụng mà không cần sự can thiệp của chủ sở hữu thiết bị. Lỗ hổng chủ yếu ảnh hưởng đến giao tiếp dựa trên MQTT giữa các thiết bị và máy chủ đám mây.

Khám phá trong thí nghiệm tại nhà

Sammy Azdoufal đã sử dụng công cụ Claude AI của Anthropic để phân tích giao thức liên lạc của Romo. Anh ấy đã phát triển một ứng dụng khách tùy chỉnh ánh xạ các lệnh của bộ điều khiển PS5 tới các chuyển động của robot. Mục đích là làm cho hoạt động trở nên thú vị hơn, tương tự như một trò chơi.

Trong quá trình thử nghiệm, ứng dụng đã kết nối với máy chủ DJI. Thay vì chỉ nhận dữ liệu từ Romo của bạn, nó lấy thông tin từ hàng nghìn thiết bị khác. Azdoufal có thể điều khiển các thiết bị từ xa, kiểm tra mức pin và quan sát những gì camera ghi lại trong thời gian thực.

Ông đã chứng minh khả năng truy cập thời gian thực cho các nhà báo. Chỉ trong vài phút, cứ sau vài giây, nó đã thu thập được hơn 100.000 tin nhắn đo từ xa do robot gửi. Dữ liệu bao gồm trạng thái làm sạch, chướng ngại vật được phát hiện và bản đồ do cảm biến tạo ra.

Lỗ hổng kỹ thuật hoạt động như thế nào

Giao thức MQTT cho phép các thiết bị xuất bản và đăng ký các chủ đề tin nhắn một cách nhẹ nhàng. Trong trường hợp của Romo, các thiết bị gửi các gói liên tục có số sê-ri, trạng thái và dữ liệu hình ảnh. Máy chủ chấp nhận đăng ký rộng rãi mà không có hạn chế đối với từng mã thông báo riêng lẻ.

Xác thực không liên kết mã thông báo với một thiết bị cụ thể. Bất kỳ mã thông báo hợp lệ nào được cấp quyền truy cập rộng rãi. Điều này không chỉ tiết lộ video và âm thanh mà còn cả sơ đồ mặt bằng chi tiết của các ngôi nhà.

Các chuyên gia an ninh mạng chỉ ra rằng các lỗ hổng tương tự cũng xảy ra trong các thiết bị IoT khi các biện pháp kiểm soát truy cập trên đám mây không đầy đủ. Sự cố này làm tăng thêm rủi ro trong các sản phẩm được kết nối nhằm lập bản đồ môi trường trong nhà.

Phản hồi của DJI và các bản sửa lỗi được áp dụng

DJI bắt đầu chỉnh sửa nội bộ vào tháng 1 năm 2026. Sau khi liên hệ với Azdoufal và các cơ quan báo chí, công ty đã đẩy nhanh quá trình cập nhật. Hai bản vá đã được tự động gửi vào ngày 8 và 10 tháng 2.

Công ty tuyên bố rằng vấn đề đã được giải quyết và việc khắc phục đã được tiến hành trước khi công bố rộng rãi. Một phát ngôn viên giải thích rằng lỗ hổng này liên quan đến việc xác thực các quyền trên phần phụ trợ.

Azdoufal lưu ý rằng ban đầu một số vấn đề nhỏ vẫn tồn tại, chẳng hạn như truy cập các luồng video mà không có mã PIN bảo mật. DJI đã hứa sẽ giải quyết những điểm bổ sung này trong các bản cập nhật trong tương lai.

Rủi ro cho người dùng thiết bị thông minh

Robot hút bụi có camera và micrô đại diện cho các mục tiêu tiềm năng trong mạng gia đình được kết nối. Truy cập trái phép có thể tiết lộ thói quen hàng ngày, cách bố trí nhà cửa và các cuộc trò chuyện riêng tư. Các trường hợp trước đây với các thương hiệu khác cũng cho thấy sự lạm dụng tương tự.

Vụ việc nêu bật sự cần thiết phải xác thực nghiêm ngặt trong các giao thức IoT. Mã thông báo phải được xác định theo phạm vi thiết bị và số lượng đăng ký bị giới hạn. Nhà sản xuất cần kiểm tra các chủ đề ký tự đại diện và xác thực quyền.

Người dùng phải duy trì mạng phân đoạn và chương trình cơ sở được cập nhật cho các thiết bị thông minh. Các biện pháp đơn giản làm giảm mức độ phơi nhiễm trong hệ sinh thái được kết nối.

Tác động đến thị trường robot gia đình

DJI Romo đã bước vào phân khúc robot hút bụi với các tính năng camera và bản đồ tiên tiến. Sự cố xảy ra ngay sau khi ra mắt toàn cầu. Điều này có thể ảnh hưởng đến niềm tin vào các sản phẩm của thương hiệu nổi tiếng với máy bay không người lái.

Các công ty trong ngành phải đối mặt với áp lực ngày càng tăng về an ninh. Sự cố cho thấy sự thuận tiện trong kết nối đòi hỏi phải có sự giám sát nghiêm ngặt. Vụ việc như một lời cảnh báo cho toàn bộ ngành công nghiệp IoT trong nước.

Azdoufal đã chia sẻ mã điều khiển gamepad của mình sau khi sửa lỗi. Ông nhấn mạnh rằng ông không khai thác dữ liệu và báo cáo vấn đề ngay lập tức.