Intentó hackear su aspiradora DJI con y terminó accediendo a más de 7,000 hogares

Un joven identificado como Sammy Azdoufal quería algo en apariencia sencillo: controlar el movimiento de su aspiradora robot DJI a su antojo, sin depender de los límites que impone la aplicación oficial. Lo que encontró en el camino fue una grieta de proporciones alarmantes que puso en evidencia hasta dónde puede llegar la fragilidad de los dispositivos conectados en el hogar.

Azdoufal utilizó herramientas de inteligencia artificial para analizar el comportamiento del firmware de su aspiradora y detectar posibles puntos de entrada en el sistema. No era un atacante con intenciones maliciosas; era un entusiasta de la tecnología que quería personalizar su propio dispositivo. Sin embargo, lo que descubrió superó con creces sus expectativas originales.

Al explorar las vulnerabilidades del sistema, el investigador logró escalar privilegios dentro de la plataforma de DJI y obtuvo acceso a una red mucho más amplia de lo que jamás imaginó. De repente, tenía el control remoto de más de 7,000 aspiradoras robot pertenecientes a otros usuarios ubicados en distintos puntos de Estados Unidos y otros países.

Espionaje en el hogar: las cámaras de miles de aspiradoras DJI quedaron expuestas sin que sus dueños lo supieran

El hallazgo más inquietante no fue el control sobre el movimiento de los dispositivos, sino lo que venía incluido con ese acceso: las cámaras integradas en cada una de esas aspiradoras. Estas cámaras, diseñadas para la navegación y el mapeo del hogar, transmitían imágenes en tiempo real del interior de las viviendas de sus propietarios.

Esto significa que, en teoría, cualquier persona con acceso a esa vulnerabilidad podía observar las habitaciones, los pasillos y los espacios privados de miles de familias sin que ellas tuvieran la menor idea de que estaban siendo vigiladas. Un fallo de este tipo, en manos equivocadas, habría representado una herramienta de espionaje doméstico de alcance masivo.

La pregunta que surge de inmediato es evidente: si Azdoufal logró esto con conocimientos técnicos y una IA, ¿cuántas personas más con intenciones distintas podrían haber encontrado el mismo camino antes o después?

¿Pudo este fallo de seguridad de DJI ser usado para espiar hogares de forma masiva?

La respuesta corta es sí. La arquitectura del sistema permitía que, a través de un único punto de acceso comprometido, se abriera una puerta trasera hacia miles de dispositivos simultáneamente. No era necesario atacar cada aspiradora de forma individual; bastaba con explotar la misma vulnerabilidad de la plataforma para obtener visibilidad sobre toda la red.

Un actor malicioso con acceso a ese fallo habría podido monitorear rutinas domésticas, identificar cuándo una casa está vacía, o simplemente recopilar información privada de manera sistemática y silenciosa. El riesgo no era hipotético, era una amenaza concreta que existió durante el tiempo que la vulnerabilidad permaneció activa.

Azdoufal, al darse cuenta del verdadero alcance de lo que había descubierto, tomó una decisión que define su actuación como la de un hacker ético pues contactó directamente a DJI para reportar el fallo de manera responsable, sin explotar el acceso ni divulgar públicamente los detalles técnicos antes de que hubiera una solución.

La respuesta de DJI fue relativamente rápida. La compañía parcheó la vulnerabilidad en cuestión de pocos días tras recibir el reporte, cerrando el acceso no autorizado y protegiendo a los usuarios afectados. No se han reportado evidencias de que el fallo haya sido explotado con fines maliciosos durante el tiempo que estuvo activo, aunque eso no necesariamente significa que nadie más lo haya encontrado.

Este caso vuelve a poner sobre la mesa un debate que la industria tecnológica no puede seguir postergando: los dispositivos del hogar inteligente, desde aspiradoras hasta refrigeradores y cámaras de seguridad, están cada vez más interconectados y cada vez más expuestos. La comodidad que ofrecen tiene un costo de seguridad que raramente se comunica con transparencia al consumidor final.

Para el usuario promedio que tiene una aspiradora robot en casa, este incidente es un recordatorio de que ese aparato no es solo un electrodoméstico: es un dispositivo conectado a internet con cámara, micrófono en algunos modelos, y acceso permanente a la red doméstica. Su seguridad merece el mismo nivel de atención que cualquier otro dispositivo en el hogar.

Sigue leyendo:
• DJI explicó por qué eliminó el bloqueo que impedía volar sus drones sobre la Casa Blanca
• Gigante chino de drones DJI suspende actividades en Rusia y Ucrania
• DJI eliminará la restricción que impedía volar sus drones en áreas restringidas como la Casa Blanca