Ingeniero español accidentalmente "toma el control" de 7,000 robots aspiradores DJI, otra vulnerabilidad en la seguridad de electrodomésticos inteligentes

Las dispositivos inteligentes para el hogar facilitan la vida diaria, pero también pueden abrir puertas a vulnerabilidades de seguridad. Recientemente, un ingeniero de software español descubrió accidentalmente que podía controlar remotamente aproximadamente 7,000 robots aspiradores en todo el mundo, incluso ver imágenes en tiempo real y recopilar una gran cantidad de información de los dispositivos. Con el mercado de hogares inteligentes proyectado para alcanzar los 139 mil millones de dólares en 2032, el rápido crecimiento de la industria plantea una pregunta clave: ¿las medidas de seguridad están a la altura de la innovación?

Intento de modificar un robot aspirador y descubro una vulnerabilidad global

Según el medio tecnológico The Verge, este incidente ocurrió durante un experimento del ingeniero de software español Sammy Azdoufal. Inicialmente, solo quería realizar ingeniería inversa en su nuevo robot aspirador DJI Romo para controlarlo con un mando de PlayStation 5.

Sin embargo, tras establecer una conexión entre su aplicación de control remoto casera y los servidores de DJI, sucedió algo inesperado: no solo respondió un robot, sino que aproximadamente 7,000 robots aspiradores en todo el mundo lo reconocieron como su dueño.

Azdoufal descubrió que podía ver las imágenes en tiempo real, escuchar sonidos y recopilar más de 100,000 mensajes de diferentes robots. Lo más sorprendente fue que también pudo deducir la ubicación aproximada de los dispositivos mediante sus direcciones IP.

Esto significa que, con las mismas credenciales de acceso, se podría obtener control a gran escala sobre otros dispositivos de usuarios.

Respuesta de DJI: vulnerabilidad corregida y Azdoufal preocupado por posibles acciones legales

Es importante destacar que Azdoufal afirmó que no tenía intención maliciosa ni que había invadido intencionadamente otros dispositivos. Contactó voluntariamente para reportar la vulnerabilidad, esperando que el problema fuera atendido y solucionado.

DJI confirmó que la vulnerabilidad ya fue corregida y agradeció públicamente a Azdoufal en la plataforma social X por su reporte.

DJI expresó: «Su retroalimentación responsable es muy valiosa para nosotros.»

Azdoufal también respondió con humor en X, autodenominándose «el tipo de la aspiradora» y bromeando que muchas personas le ofrecían robots aspiradores gratis.

No obstante, debido a la cobertura mediática, Azdoufal teme que DJI pueda buscar motivos para demandarlo.

Expertos en seguridad advierten: la seguridad de los dispositivos inteligentes a menudo se pasa por alto

De hecho, este no es un caso aislado. El profesor de ciencias de la computación en la Universidad de Surrey, Alan Woodward, señaló que muchos fabricantes de productos inteligentes priorizan la innovación y la entrada al mercado, dejando la seguridad como una opción a reforzar posteriormente.

Woodward afirmó que la industria suele adoptar una mentalidad de «acción rápida y romper las reglas», buscando lanzar productos más baratos y con más funciones, pero que en las etapas iniciales del desarrollo de software, ignorar la seguridad puede resultar en vulnerabilidades costosas.

Indicó que los problemas de seguridad en los dispositivos inteligentes no se deben a errores en componentes individuales, sino a fallas en el diseño del sistema completo, incluyendo:

• Cómo interactúa el software del dispositivo con los servidores en la nube
• Cómo se conecta la aplicación móvil con los servidores
• La efectividad de los mecanismos de autenticación para aislar a diferentes usuarios

Cualquier fallo en uno de estos aspectos puede generar riesgos en cadena.

El auge del mercado de hogares inteligentes y el aumento de riesgos

Según la firma de investigación MarketsandMarkets, se espera que el mercado global de hogares inteligentes alcance los 139 mil millones de dólares en 2032. Desde iluminación, cerraduras, cámaras de vigilancia, monitores para bebés hasta sistemas de calefacción, estos dispositivos se están infiltrando rápidamente en la vida familiar.

Sin embargo, un estudio en el Journal of Information Security and Applications señala que hackers han logrado controlar con éxito:

• Sistemas de iluminación
• Cerraduras electrónicas
• Cámaras de seguridad
• Monitores para bebés
• Sistemas de calefacción

El incidente con los robots aspiradores es solo uno de muchos. A medida que más dispositivos se conectan a internet, la superficie de ataque potencial también se amplía.

Raíces de las vulnerabilidades: credenciales predeterminadas y falta de aislamiento de permisos

En este caso, Azdoufal pudo controlar otros dispositivos porque sus credenciales le permitieron acceder a diferentes robots.

Woodward recomienda que las empresas obliguen a los usuarios a establecer contraseñas exclusivas al activar el producto por primera vez, en lugar de usar credenciales predeterminadas o derivadas. Además, los equipos de desarrollo deben comprender completamente cómo podrían ser vulnerados los sistemas, en lugar de centrarse solo en un módulo.

Enfatiza que la seguridad no es solo una parte de la programación, sino una cultura integral en el diseño del producto.

Los consumidores también deben estar alertas

Además de la responsabilidad de las empresas, los consumidores deben evaluar cuidadosamente los riesgos de privacidad que conllevan los dispositivos inteligentes.

Woodward afirmó: «El hecho de que puedas hacerlo, no significa que debas hacerlo.»

Los electrodomésticos inteligentes facilitan la vida, pero cuando los dispositivos tienen cámaras, micrófonos y capacidades de localización, un uso indebido puede tener consecuencias mucho mayores a las esperadas.

Este artículo sobre cómo un ingeniero español «tomó el control» de 7,000 robots aspiradores DJI y las vulnerabilidades en la seguridad de los electrodomésticos inteligentes fue publicado originalmente en Chain News ABMedia.