DJI paga por descubrir una vulnerabilidad

DJI, el mayor fabricante mundial de drones y robótica, se vio envuelta en una historia sorprendente que empezó con la intención más inocente. Un usuario —no un investigador de ciberseguridad ni un hacker, sino una persona corriente llamada Sammy Azdoufal— quiso conectar su robot aspirador DJI a un mando de PlayStation. Quería manejar al ayudante doméstico como si fuera un coche teledirigido. Pero, en vez de divertirse, encontró una brecha del tamaño de la puerta de una sala de servidores.

Al intentar configurar el control, Sammy obtuvo por accidente acceso a una red de unos 7.000 robots aspiradores de la misma serie. Estos dispositivos tienen cámaras y funciones de acceso remoto, así que, en teoría, podía asomarse a miles de hogares ajenos. No por mala intención, sino simplemente porque la seguridad del sistema era mucho más débil de lo que cabría esperar de una empresa de ese nivel.

Al parecer, DJI ya estaba trabajando en corregir algunas vulnerabilidades antes de que Sammy mostrara a los periodistas el alcance del posible problema. Pero seguía en el aire una pregunta: cómo reaccionaría la empresa ante el descubrimiento. Al fin y al cabo, en 2017 DJI ya se había hecho famosa por su conflicto con el investigador Kevin Finisterre: él también encontró una brecha crítica, pero en lugar de recibir agradecimientos, sufrió amenazas y presiones.

Ahora parece que la empresa ha decidido no repetir los errores del pasado. DJI reconoció oficialmente la contribución de Sammy y le pagó 30.000 dólares a través de su programa de recompensas por vulnerabilidades. La empresa no vio ninguna infracción por parte de Sammy: actuó de buena fe, informó del problema y no intentó utilizar el acceso para causar daño.

DJI también aseguró que sigue corrigiendo los problemas de seguridad pendientes y actualizando el firmware de los robots para que algo así no vuelva a ocurrir. La historia, que empezó con un intento de jugar con un aspirador, no solo dio pie a un debate mundial sobre la seguridad de los dispositivos inteligentes, sino también a un caso poco frecuente en el que una corporación opta por colaborar en vez de enfrentarse a quien descubre el fallo.