DJI corrige bug de segurança dos robôs ROMO

DJI corrigiu em fevereiro de 2026 uma vulnerabilidade crítica no sistema de nuvem do aspirador robô ROMO que permitia o acesso não autorizado a cerca de 7 mil dispositivos espalhados por 24 países.

A brecha foi descoberta pelo engenheiro de software Sammy Azdoufal, que tentava apenas controlar o seu ROMO com um controle de PlayStation 5 — e acabou encontrando uma falha que expunha câmeras, microfones e mapas internos de lares ao redor do mundo. A empresa confirmou a correção e anunciou o pagamento de US$ 30 mil ao pesquisador pelo programa de bug bounty.

Leia mais:

• Honor Robot Phone: conheça o celular que tem um braço robótico na câmera
• Lenovo apresenta robô AI Workmate no MWC 2026 para assinar documentos e ajudar no escritório
• Monge-robô com IA orienta fiéis em templos no Japão

COMO TUDO COMEÇOU

Azdoufal queria criar um controle personalizado para o seu DJI ROMO usando um gamepad de PS5, apenas por diversão. Para isso, ele começou a engenharia reversa do protocolo de comunicação entre o aspirador e os servidores da DJI, utilizando uma ferramenta de IA chamada Claude Code para analisar o sistema.

🤖🧹 Se você quer praticidade sem abrir mão da segurança, o WAP Aspirador de Pó Robô ROBOT W400 é uma ótima opção nacional com controle remoto e autorrecarga. Uma escolha inteligente para manter a casa limpa com tranquilidade e sem dores de cabeça! 🏠

Ao extrair o token de autenticação do seu próprio dispositivo, o engenheiro percebeu que o servidor da DJI não limitava o acesso apenas ao seu aparelho. Em poucos minutos, seu laptop havia catalogado mais de 6.700 dispositivos DJI em 24 países, recebendo mensagens a cada três segundos com dados como:

• Número de série do dispositivo
• Cômodos em processo de limpeza
• Nível de bateria e trajetos percorridos
• Obstáculos encontrados e tempo de operação
• Localização geográfica aproximada via endereço IP

O QUE OS INVASORES PODERIAM VER

A gravidade da falha ia muito além de simples dados técnicos. Azdoufal demonstrou ao vivo para um jornalista do The Verge que era possível acessar informações altamente sensíveis de qualquer ROMO conectado à nuvem da DJI. Bastava inserir o número de série de 14 dígitos de um dispositivo para ter acesso a tudo isso remotamente, de qualquer lugar do mundo.

Robôs humanoides já estão patrulhando as ruas da China

Em um teste ao vivo, o engenheiro identificou corretamente que o aspirador de um colega do jornalista estava limpando a sala de estar com 80% de bateria — tudo isso de outro país. Veja o que era possível acessar com a brecha:

Dado acessível	Detalhe
Feed de câmera ao vivo	Acesso em tempo real, sem necessidade de PIN
Áudio pelo microfone	Escuta ativa do ambiente doméstico
Planta baixa da casa	Mapa 2D gerado automaticamente pelo ROMO
Localização aproximada	Obtida via endereço IP do dispositivo
Dados de limpeza	Cômodos, trajetos e nível de bateria

A RESPOSTA DA DJI

A DJI afirma ter identificado internamente o problema de validação de permissões no backend em janeiro de 2026 e iniciado a correção imediatamente. Dois patches foram lançados de forma automática, sem necessidade de ação do usuário:

• 8 de fevereiro: primeiro patch aplicado, mas não distribuído a todos os nós de serviço
• 10 de fevereiro: segundo patch corrigiu os nós restantes e encerrou a vulnerabilidade

Novo robô autônomo é menor que um grão de sal e processa dados

A empresa reconheceu que a janela de vulnerabilidade ficou aberta por mais tempo do que o ideal justamente por causa dessa falha na distribuição do primeiro patch. A DJI disse ainda que investigou o acesso indevido e concluiu que quase toda a atividade suspeita era de pesquisadores de segurança testando seus próprios dispositivos, sem evidências de uso malicioso dos dados.

Em nota oficial, a empresa afirmou: “A tecnologia não é estática; está em constante evolução, e a segurança deve evoluir com ela.” Sobre os acessos identificados, completou: “Não identificamos evidências de que os dados dos usuários foram utilizados de forma indevida.”

BUG BOUNTY E TRANSPARÊNCIA

Apesar da polêmica sobre a resposta inicial da empresa — que afirmou ter corrigido o problema antes de ele estar de fato resolvido —, a DJI confirmou o pagamento de US$ 30 mil a um pesquisador pelo programa de bug bounty. Azdoufal compartilhou nas redes sociais o e-mail com a promessa do valor.

O próprio pesquisador foi direto ao explicar sua motivação: “Sim, eu não sigo as regras, mas as pessoas se prendem ao bug bounty pelo dinheiro. Eu não me importo com isso, só quero que isso seja corrigido. Seguir as regras até o fim provavelmente faria essa brecha durar muito mais tempo.”

Sobre o método que usou, Azdoufal foi enfático: “Eu não infringi nenhuma regra, não contornei, não quebrei, não fiz força bruta, nada disso.” Ele explica que simplesmente extraiu o token privado do seu próprio ROMO — e os servidores da DJI devolveram dados de milhares de outros dispositivos.

O programa de recompensas por vulnerabilidades da DJI existe há quase uma década. Segundo a empresa, “mais de 300 pesquisadores de segurança já enviaram relatórios sobre potenciais vulnerabilidades em plataformas DJI” desde o lançamento do programa.

CERTIFICAÇÕES E PRÓXIMOS PASSOS

A DJI destacou que o ROMO já possui diversas certificações de segurança reconhecidas internacionalmente:

• ETSI EN 303 645 — padrão europeu para segurança de dispositivos IoT
• EU RED — requisitos de rádio e equipamentos da União Europeia
• UL Solutions Diamond IoT Security — certificação americana para segurança em dispositivos conectados

A companhia reafirmou o compromisso com auditorias independentes de terceiros para o ROMO e o aplicativo DJI Home, além de manter equipe dedicada de segurança de produto, com revisões de arquitetura, testes de penetração e práticas de divulgação coordenada.

Fonte: DJI

*A venda dos produtos indicados nesta página pode gerar comissão para o Mundo Conectado.