DJI dice que ha solucionado un problema de seguridad que afecta a su robot aspirador Romo, después de que un investigador informara de un acceso inusualmente amplio a los dispositivos que se comunican con los servicios en la nube de DJI. El investigador, Sammy Azdoufal, dijo que descubrió el problema mientras creaba una aplicación de control remoto para su propio Romo y luego vio miles de dispositivos responder cuando su aplicación se conectaba a la infraestructura DJI.
Según DJI, la causa principal fue un problema de validación de permisos de backend relacionado con la comunicación basada en MQTT entre los dispositivos y el servidor. En un comunicado, la compañía dijo que la corrección se implementó en dos actualizaciones, con una solución inicial implementada el 8 de febrero y un seguimiento completado el 10 de febrero. DJI dijo que la solución se entregó automáticamente y no requiere ninguna acción del usuario.
Azdoufal afirmó que podía observar la telemetría del dispositivo, como identificadores e información de estado, y que, en teoría, se podría abusar de las rutas de acceso para acceder a transmisiones de video en vivo en algunas circunstancias. DJI dijo que su investigación encontró que la actividad sospechosa estaba relacionada en gran medida con investigadores independientes que probaron sus propios dispositivos, aunque agregó que no hay evidencia de un impacto más amplio.
El incidente resalta los riesgos para la privacidad de los dispositivos domésticos conectados que incluyen cámaras y micrófonos. Incluso cuando los datos están cifrados en tránsito, el control de acceso y los permisos del lado del servidor determinan qué pueden solicitar y ver los clientes autenticados. Los recursos de seguridad pública de DJI, incluidos sus canales de notificación de vulnerabilidades, están disponibles a través del Centro de respuesta de seguridad de DJI.
DJI ha estado bajo escrutinio en múltiples mercados por preocupaciones relacionadas con la seguridad, y el episodio de Romo puede contribuir a ese debate. Para obtener más cobertura de DJI, consulte nuestro informe anterior sobre imágenes de productos filtradas para la línea de cámaras de acción de la compañía: Se filtran imágenes de DJI Osmo Nano, muestran un diseño modular.
