DJI geeft $ 30.000 aan Romo-eigenaar die plots controle had over alle robotstofzuigers
Sammy Azdoufal, een AI-strateeg voor een verhuurbedrijf voor vakantiehuizen uit Barcelona, wou zijn robotstofzuiger van DJI vanop afstand besturen met een PlayStation-controller. Hij kreeg echter meer dan hij wou. Zijn zelfgemaakte app voor de bediening gaf hem controle over zo’n 7.000 DJI Romo’s. Hij kon de kamerindelingen van de huizen zien, via IP-adressen de thuisadressen opzoeken, foto’s en video’s bekijken en meeluisteren.
Azdoufal had het protocol van DJI via reverse engineering nagebouwd dankzij Claude Code. Hij had de servers dus niet gehackt of iets dergelijks. Toch kreeg hij complete controle over de hele Romo-catalogus en eveneens over de DJI Power-powerstations. In totaal had hij meer dan 10.000 toestellen van de Chinese fabrikant in zijn macht, zonder dat dit de bedoeling was. Die apparaten zaten in de VS, China en de EU.
Nog altijd niet volledig gedicht
De Barcelonees deelde deze info met The Verge en contacteerde ook DJI over het probleem. Na een aantal vage antwoorden, kwam er uiteindelijk toch een betere uitleg. De fabrikant nam zelf maatregelen, waardoor Azdoufal niet langer alle apparaten op zijn scherm kon zien.
Nu betaalde DJI 30.000 dollar aan Azdoufal voor zijn ontdekking en de hulp die hij daarbij verleende. DJI dichtte het lek en werkt ook aan een tweede probleem dat toen aan het licht kwam. Daarnaast geeft het een upgrade aan het hele systeem om verdere problemen te vermijden. Niet iedere hacker zal namelijk even vriendelijk en voorzichtig omgaan met dergelijke gegevens. In een blogpost raakt het deze onderwerpen aan.
Dit is zeker niet het enige merk dat beveiligingslekken moest dichten. In 2024 gaven de Ecovacs-robotstofzuigers plots racistische commentaren na een hack.
