Dono de um DJI Romo hackeou quase 7 mil robôs aspiradores por acaso

Imagine passar pela experiência de “hackear” um dispositivo doméstico para executar uma função específica e acabar descobrindo uma falha de segurança em um produto usado por milhares de pessoas. É o que aconteceu com Sammy Azdoufal quando ele tentou controlar seu robô aspirador DJI Romo com um controle de PlayStation 5.

Azdoufal é um especialista em inteligência artificial e, como tal, usou o Claude Code para fazer engenharia reversa de um protocolo usado pelo robô aspirador na comunicação com os servidores da DJI.

Com base nisso, Azdoufal acabou criando um aplicativo de controle remoto. A ideia era a de fazer somente a sua unidade do DJI Romo responder aos comandos de seu joystick para PS5. Mas, para seu espanto, quando o app se conectou aos servidores da DJI, quase 7 mil robôs aspiradores responderam aos seus comandos.

Os robôs estavam distribuídos por pelo menos 24 países. Azdoufal podia, então, assistir às transmissões de vídeo em tempo real de todos eles. O áudio capturado pelos microfones dessas unidades também podia ser obtido, bem como os mapas 2D das casas por onde eles circulavam. Dava até para descobrir a localização aproximada de cada robô a partir de seu endereço IP.

Em resumo: Sammy Azdoufal acabou descobrindo um problema que comprometia a privacidade e a segurança de milhares de pessoas.

Era até possível capturar dados de uma unidade específica. Como exemplo, Azdoufal usou um número de série para localizar o DJI Romo de um jornalista do The Verge, veículo para o qual a falha foi reportada inicialmente. A ação mostrou que o robô tinha 80% de bateria na ocasião e resultou na obtenção do mapa da casa do jornalista.

Fonte: Tecnoblog