Imagine ligar o joystick do PlayStation para brincar com o robô aspirador e, de repente, perceber que tem acesso às plantas baixas, às câmeras e aos microfones de milhares de residências no mundo todo. Foi exatamente o que aconteceu com o estrategista de IA Sammy Azdoufal ao testar o DJI Romo, modelo de robô aspirador da gigante chinesa mais conhecida pelos drones.
Como a falha foi descoberta
Azdoufal queria apenas controlar o seu aparelho manualmente usando o Claude Code, ferramenta de IA da Anthropic. Ao analisar o tráfego entre o Romo e os servidores da DJI, o desenvolvedor encontrou tokens de autenticação válidos que, surpreendentemente, não eram limitados ao seu dispositivo. Em poucos minutos, ele tinha acesso remoto a 6.700 robôs espalhados por Estados Unidos, Europa e China — tudo sem quebrar senhas nem rodar força-bruta.
O que exatamente estava exposto
- Plantas baixas detalhadas das residências, criadas pelo sistema de mapeamento a laser do robô.
- Stream de vídeo ao vivo das câmeras embarcadas, sem necessidade de PIN.
- Áudio ambiente captado pelos microfones, abrindo espaço até para espionagem de conversas.
O ponto crítico estava na forma como a DJI validava os tokens: qualquer credencial legítima, mesmo de outro usuário, liberava a frota inteira conectada ao servidor.
DJI lançou correção, mas nem tudo está resolvido
A fabricante aplicou um patch automático assim que foi notificada, garantindo que nenhum consumidor precisasse fazer atualização manual. No entanto, segundo Azdoufal, pelo menos duas brechas secundárias continuam em aberto: acesso ao feed de vídeo sem PIN e armazenamento de dados sensíveis em texto simples no servidor.
Por que isso importa para quem trabalha, estuda ou joga em casa
Além de virar um “tour virtual indesejado” do seu lar, um acesso não autorizado pode revelar posicionamento de consoles, PCs gamers, roteadores e até objetos de valor. Para quem faz streaming ou home office, o vazamento de áudio e vídeo em tempo real é um prato cheio para engenharia social e roubo de identidade.
Comparativo rápido: DJI Romo vs. concorrentes
O Romo compete diretamente com modelos premium como iRobot Roomba j7+ e Ecovacs Deebot T20 Omni. Todos oferecem mapeamento avançado via LIDAR ou câmera, mas:
Imagem: Internet
- O Roomba j7+ permite operação off-line parcial e salva mapas locais, reduzindo exposição em nuvem.
- Alguns modelos da Ecovacs exigem conta on-line para liberar funções de IA, cenário parecido com o da DJI.
- Opções enxutas, como o Eufy RoboVac G30, dispensam câmera e registram menos dados — perda de recursos, mas ganho em privacidade.
Se a ideia é comprar um robô aspirador, vale ponderar se você prefere assistente doméstico superconectado ou um modelo “offline first” com menos sensores, porém menos chance de virar webcam ambulante.
Dicas rápidas de segurança para quem já tem robô aspirador
- Atualize o firmware assim que notificações surgirem no app.
- Crie PIN ou senha forte para acessar a câmera (quando disponível).
- Segmente a rede Wi-Fi (rede de convidados ou VLAN) para isolar o dispositivo do PC gamer ou do NAS onde guarda seus jogos e backups.
- Revise permissões no aplicativo: só ative microfone e vídeo se realmente usar.
- Monitore logs de acesso; fabricantes sérias exibem histórico de conexões no app.
O debate maior: precisamos mesmo da nuvem para aspirar a casa?
Este incidente ecoa o caso do iLife A11, que em 2023 deixou de funcionar quando um usuário bloqueou a telemetria. A pergunta que fica é: por que tarefas simples, como limpar o chão, exigem servidores globais? Até que a indústria responda, a responsabilidade de equilibrar conveniência e segurança continua nas mãos do consumidor.
Com informações de Mundo Conectado
