Imagina comprar un avanzado robot aspirador para facilitar las tareas del hogar y que, sin saberlo, este se convierta en una ventana abierta para extraños. Esto es precisamente lo que descubrió Sammy Azdoufal, un ingeniero de software que solo quería manejar su nuevo DJI Romo con un mando de PlayStation 5.
Al intentar crear su propia aplicación de control remoto con la ayuda de asistentes de inteligencia artificial, Azdoufal tropezó con un error crítico en los servidores de DJI. En lugar de acceder solo a su dispositivo, obtuvo el control total sobre casi 7.000 robots en 24 países diferentes, permitiéndole ver transmisiones de video en vivo, escuchar a través de los micrófonos y visualizar mapas detallados de viviendas ajenas.
Este incidente, revelado en febrero de 2026, pone de manifiesto la fragilidad de nuestra privacidad en la era del hogar inteligente. La vulnerabilidad no solo afectó a las aspiradoras, sino también a estaciones de energía de la marca, recordándonos que la comodidad tecnológica a menudo conlleva riesgos que las empresas aún no logran blindar por completo ante ojos curiosos o malintencionados.
¿En qué consiste el fallo del DJI Romo?
El dispositivo protagonista de esta historia es el DJI Romo, un robot aspirador autónomo de gama alta que se vende por unos 2.000 dólares y tiene el tamaño aproximado de un perro pequeño. Para funcionar, este robot utiliza una serie de sensores avanzados que le permiten mapear la casa y distinguir entre una cocina y un dormitorio. Sin embargo, la magia ocurre en la nube: gran parte de esa información se envía a los servidores de DJI para que el usuario pueda controlarlo desde su móvil.
El problema surgió cuando Azdoufal utilizó una herramienta de inteligencia artificial llamada Claude Code para realizar ingeniería inversa, que es el proceso de analizar cómo un software se comunica con su servidor para entender su funcionamiento. Al intentar extraer su token de seguridad (una especie de llave digital única que confirma que eres el dueño del aparato), descubrió que los servidores de DJI no estaban validando correctamente los permisos.
En lugar de darle acceso solo a su propio robot, el sistema le abrió la puerta a una inmensa flota de dispositivos. Técnicamente, el error residía en la comunicación basada en MQTT, un protocolo de mensajería muy ligero usado habitualmente en el Internet de las Cosas para que los dispositivos hablen con los servidores. Debido a una mala configuración, cualquier cliente autenticado podía suscribirse a canales de datos de otros usuarios y ver sus mensajes en texto claro.
¿Por qué es tan grave este descubrimiento?
Lo que Azdoufal encontró no fue un simple error técnico, sino una vulnerabilidad que permitía una vigilancia masiva sin precedentes. A través de su aplicación casera, podía ver en tiempo real lo que captaban las cámaras de miles de hogares. Pero la intrusión no se detenía ahí: también podía activar los micrófonos de los robots y observar cómo generaban planos en 2D de las casas de sus dueños.
Para demostrar la magnitud del fallo, Azdoufal realizó una demostración en vivo para el medio The Verge. Con solo introducir el número de serie de un robot de prueba, pudo ver cuánta batería tenía, en qué habitación estaba limpiando y generar un mapa exacto de la vivienda en cuestión de minutos. Incluso logró saltarse el código PIN de seguridad que, en teoría, debería proteger el acceso al video en directo.
Este incidente plantea implicaciones alarmantes para la industria:
- Riesgo de espionaje: Cualquier persona con los conocimientos adecuados podría haber convertido estos robots en herramientas de vigilancia silenciosas.
- Exposición de datos sensibles: Los planos de las viviendas y la ubicación aproximada (obtenida mediante las direcciones IP) son datos críticos que quedaron expuestos.
- Facilidad de explotación: El hecho de que una IA ayudara a descubrir este fallo sugiere que herramientas potentes están bajando la barrera para que personas con menos conocimientos técnicos puedan explotar vulnerabilidades complejas.
Contexto: Una industria bajo sospecha
DJI, conocida mundialmente por sus drones, ha intentado calmar las aguas asegurando que el problema ya está totalmente resuelto mediante actualizaciones automáticas desplegadas entre el 8 y el 10 de febrero. No obstante, existe cierta controversia, ya que el investigador afirma que la empresa solo parcheó el agujero después de que los medios se pusieran en contacto con ellos, y que aún quedan cabos sueltos por atar.
Lamentablemente, este no es un caso aislado en el mundo de la domótica o casa inteligente. En 2024, piratas informáticos tomaron el control de robots de la marca Ecovacs para insultar a sus dueños o perseguir a sus mascotas. Otras marcas como Wyze o Eufy también han estado en el ojo del huracán por gestionar de forma cuestionable la seguridad de sus cámaras.
Además, este suceso añade leña al fuego en el debate político sobre los fabricantes tecnológicos chinos. Aunque no hay pruebas de que el fallo fuera intencionado, refuerza los argumentos de quienes piden regulaciones más estrictas para los dispositivos que introducimos en nuestros espacios más íntimos.
¿Qué significa esto para el futuro?
Estamos entrando en una era donde los robots no solo aspirarán el suelo, sino que tendrán formas humanas y realizarán tareas complejas como lavar platos, como los modelos que desarrollan empresas como Tesla o 1X. Para ser útiles, estos ayudantes necesitarán un acceso sin precedentes a nuestra vida privada, con cámaras y micrófonos siempre encendidos.
La lección que nos deja el caso de DJI es que la ciberseguridad no puede ser una ocurrencia tardía. Mientras el mercado de casas inteligentes sigue creciendo (con más de 54 millones de hogares en EE. UU. ya equipados con algún dispositivo), la transparencia de las empresas será fundamental. Como usuarios, debemos empezar a preguntarnos si realmente necesitamos un micrófono en un electrodoméstico o si la comodidad que nos ofrecen compensa el riesgo de que nuestra intimidad sea retransmitida por internet. El futuro es prometedor y lleno de robots serviciales, pero solo si logramos que sean tan seguros como eficientes.
