Un intento aparentemente inofensivo por controlar un robot aspirador con un mando de consola terminó revelando una vulnerabilidad de alcance global. Un usuario logró acceder a información y actividad de miles de aspiradoras conectadas de la marca DJI ROMO antes de que la compañía corrigiera el problema.
El incidente vuelve a poner sobre la mesa una cuestión cada vez más crítica: la seguridad y la privacidad en el hogar conectado.
Todo comenzó cuando Sammy Azdoufal, directivo vinculado al ámbito tecnológico, decidió desarrollar una aplicación propia para manejar su robot aspirador mediante un mando de PS5. Lo que parecía un proyecto personal derivó en algo inesperado: al comunicarse con los servidores del fabricante, no solo respondió su dispositivo, sino miles de unidades distribuidas en distintos países.
En cuestión de minutos, su herramienta identificó más de 6.000 robots activos en 24 países y recopiló decenas de miles de mensajes enviados por estos dispositivos. La información incluía datos técnicos como número de serie, estancias limpiadas, trayectorias de movimiento y momentos de regreso a la base de carga.
Según el propio investigador, no fue necesario vulnerar los sistemas de la empresa mediante técnicas de intrusión avanzadas. El proceso consistió en analizar cómo su propio dispositivo se autenticaba frente a los servidores y replicar ese mecanismo.
El problema residiría en la validación de permisos en el backend: una vez autenticado como usuario legítimo, el sistema no restringía adecuadamente el acceso a los mensajes generados por otros dispositivos.
La comunicación entre robot y servidor utilizaba el protocolo MQTT, habitual en entornos IoT, y estaba cifrada mediante TLS. Sin embargo, la gestión de suscripciones a los mensajes no estaba correctamente segmentada.
DJI confirmó la existencia de una vulnerabilidad relacionada con la validación de permisos y aseguró haber desplegado actualizaciones correctivas a principios de febrero. La compañía calificó el acceso no autorizado como “extremadamente raro” y afirmó haber reforzado los controles de seguridad tras la detección interna del fallo.
No obstante, el caso abre interrogantes relevantes sobre los procesos de auditoría en productos conectados antes de su comercialización.
El modelo DJI ROMO integra sensores ópticos, tecnología LiDAR y algoritmos avanzados de planificación para mapear el hogar con precisión. Su funcionamiento depende de comunicación constante con la nube para gestionar zonas, trayectorias y configuraciones desde la aplicación móvil.
Esto convierte al robot en algo más que un simple electrodoméstico: es un dispositivo con conectividad permanente, sensores ambientales y capacidad de recopilar datos dentro del entorno doméstico.
El incidente reabre una discusión recurrente en la industria tecnológica: ¿están suficientemente blindados los dispositivos inteligentes que operan dentro del hogar?
La proliferación de electrodomésticos conectados —desde aspiradoras hasta cámaras, asistentes virtuales o cerraduras inteligentes— ha ampliado la superficie de exposición digital en los entornos privados. Cada dispositivo añade comodidad, pero también complejidad en términos de ciberseguridad.
En un escenario donde la nube es el núcleo operativo de millones de hogares, la confianza del usuario depende no solo de la innovación, sino de la robustez de los sistemas que la sostienen.
La pregunta ya no es si el hogar es inteligente.
La cuestión es si es también suficientemente seguro.
Rincón del CISO
28 Julio 2026
Podcast de Cyberlideria MGZN.
Todos los jueves, a partir de las 22:00, estará disponible en CyberLideria MGZN una nueva entrevista, donde un prestigioso CISO colaborador charlará con una personalidad inspiradora, importante, y líder empresarial, tanto del ámbito privado como público.
Manténgase informado sobre la ciberseguridad, tecnología, las tendencias y las noticias que afectan a los líderes de TI.
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
