Chercheur découvre 7 000 aspirateurs Romo vulnérables

Tout a commencé de manière simple : un homme, une manette PlayStation et un aspirateur robot. Ce qui s'est produit ensuite est devenu l'une des histoires de cybersécurité les plus singulières dans l'univers de la maison connectée.

En expérimentant des méthodes pour contrôler son aspirateur robot DJI Romo à l'aide d'une manette de jeu, l'enthousiaste en sécurité Sammy Azdoufal a découvert quelque chose de bien plus vaste que prévu. Plutôt que de ne diriger que son propre appareil, il a mis au jour l'accès à un réseau massif d'environ 7 000 aspirateurs robots DJI connectés à Internet. En théorie, le système pouvait permettre à une personne d'accéder à distance aux flux vidéo capturés par ces appareils à l'intérieur de domiciles privés.

La découverte a rapidement attiré l'attention de l'industrie technologique. Les objets connectés pour la maison se trouvent déjà au cœur des espaces personnels, et l'idée que des milliers d'entre eux puissent être atteignables via une brèche de sécurité a soulevé des questions sérieuses sur la sécurité du matériel connecté, la confidentialité des données et la sécurité domestique.

Un bug récompensé 30 000 $

DJI a confirmé qu'Azdoufal recevra une récompense de 30 000 dollars pour l'une des vulnérabilités qu'il a signalées. L'entreprise n'a pas précisé laquelle des failles a conduit à cette récompense, et elle n'a pas divulgué publiquement le nom du chercheur. Toutefois, Azdoufal a partagé un courriel indiquant que DJI reconnaissait son travail et avait émis la récompense via son programme de sécurité.

Selon la porte‑parole de DJI, Daisy Kong, l'un des problèmes signalés par Azdoufal permettait d'accéder au flux vidéo d'un robot Romo sans saisir le code PIN de sécurité requis. L'entreprise indique que ce défaut particulier a été corrigé fin février.

Ce n'était pas la seule préoccupation. Certaines des vulnérabilités découvertes lors de l'enquête étaient suffisamment sérieuses pour que des journalistes choisissent initialement de ne pas publier de détails techniques complets, craignant qu'ils puissent être exploités avant la mise en place des correctifs. DJI indique désormais que des mises à niveau plus larges du système Romo sont en cours, avec une série de mises à jour attendues sur une période d'environ un mois.

Parallèlement aux correctifs techniques, la société a publié un billet de blog présentant des changements apportés à l'architecture de sécurité de la plateforme. DJI affirme que des mises à jour ont été déployées pour résoudre le problème principal et que des améliorations supplémentaires sont en cours d'implémentation à l'échelle du système.

Le billet précise également que la plateforme Romo dispose déjà de certifications de sécurité émises par des organismes tels que l'ETSI, l'Union européenne et UL. Pour certains observateurs, cette affirmation soulève une question inconfortable : si un chercheur indépendant, en expérimentant simplement avec du code, a pu accéder à des milliers d'appareils, quelle est la fiabilité de ces processus de certification face aux vulnérabilités du monde réel ?

DJI soutient que l'incident renforce l'importance d'une surveillance externe. L'entreprise prévoit de poursuivre les tests de sécurité et s'est engagée à soumettre à des audits supplémentaires, indépendants et tiers, aussi bien le matériel Romo que son application compagnon.

Plus notable encore, la société a signalé un changement dans sa manière de collaborer avec la communauté de la cybersécurité. DJI indique avoir l'intention de renforcer la collaboration avec les chercheurs et d'introduire de nouveaux moyens pour que des experts indépendants puissent signaler des failles et travailler aux côtés de l'entreprise.

Pour Azdoufal, cet épisode rappelle combien de surprises se cachent encore dans les appareils connectés du quotidien. Une expérience d'un week‑end avec une manette de jeu a fini par révéler des faiblesses sur des milliers de machines domestiques intelligentes — et lui a valu une prime de bug bounty de 30 000 dollars.

Contexte technique : comment une manette a ouvert la porte

Le scénario technique décrit par les chercheurs indique que la combinaison d'une interface locale non sécurisée et d'un système d'authentification insuffisant a facilité l'exploration. Les aspirateurs robots modernes, comme le Romo, intègrent souvent des caméras, des capteurs et des fonctions de communication en cloud pour offrir du contrôle à distance, de la vidéo en direct et des fonctions de diagnostic. Ces capacités augmentent la surface d'attaque si les mécanismes d'authentification, le chiffrement des flux et le contrôle d'accès ne sont pas solidement implémentés.

Dans ce cas, la manette de jeu servait d'interface d'entrée pour émettre des commandes et tester les réponses du robot. En explorant les protocoles et les points d'accès exposés, le chercheur a découvert des chemins qui contournent la saisie du PIN et permettent l'abonnement ou l'accès à un flux vidéo. Techniquement, cela peut résulter de tokens d'authentification insuffisamment liés à l'identité du propriétaire, d'API non restreintes ou d'erreurs dans la logique de vérification des sessions.

Implications pour la vie privée et la sécurité domestique

La possibilité d'accéder à des flux vidéo depuis des appareils installés dans des foyers soulève des enjeux de confidentialité considérables. Les caméras d'aspirateurs robots peuvent filmer des zones privées, capturer des conversations ou enregistrer des comportements quotidiens. Une brèche de ce type transforme un appareil ménager en vecteur d'espionnage potentiellement très intrusif.

Au‑delà de la vidéo, l'accès non autorisé à un réseau d'appareils connectés peut aussi fournir des informations supplémentaires : modèles d'occupation, habitudes, dispositifs connectés au même réseau, et possibilités de propagation d'attaques latérales vers d'autres équipements IoT. Ces risques rendent la sécurité intégrée — authentification forte, chiffrement end‑to‑end, mises à jour automatiques et audits tiers — essentielle pour les fabricants et les utilisateurs.

Réponses et mesures prises

DJI a suivi plusieurs étapes après la notification :

• Déploiement de correctifs visant à empêcher l'accès non autorisé aux flux vidéo.
• Amélioration de l'architecture de sécurité de la plateforme Romo, notamment des mécanismes d'authentification et de gestion des sessions.
• Engagement à réaliser des audits de sécurité externes et supplémentaires sur le matériel et les applications.
• Renforcement du programme de bug bounty et des canaux de communication avec les chercheurs en sécurité.

Ces mesures correspondent aux meilleures pratiques en sécurité des objets connectés, mais elles exigent du temps et une surveillance continue pour s'assurer de l'efficacité face à des techniques d'attaque évolutives.

Certifications : une assurance limitée

Les certifications (ETSI, normes européennes, UL, etc.) jouent un rôle important dans l'assurance qualité et la conformité. Elles évaluent généralement des critères techniques, de sécurité et de compatibilité. Cependant, elles ne garantissent pas l'absence de vulnérabilités découvertes ultérieurement, notamment lorsque des configurations imprévues, des mises à jour logicielles ou des combinaisons d'appareils entrent en jeu.

La découverte par un chercheur indépendant illustre une limite des processus de certification : les tests de laboratoire ne reproduisent pas toujours l'écosystème complet ni les attaques créatives qu'un acteur motivé peut concevoir. C'est pourquoi les audits continus, la divulgation coordonnée des vulnérabilités et les programmes de récompenses sont complémentaires et essentiels à la sécurité réelle des produits IoT.

Ce que les utilisateurs peuvent faire

Si vous possédez un aspirateur robot connecté ou tout autre appareil IoT, voici des mesures pratiques pour réduire les risques de sécurité domestique :

• Maintenez le firmware et l'application à jour. Activez les mises à jour automatiques si disponibles.
• Choisissez des mots de passe robustes et uniques pour les comptes et activer l'authentification à deux facteurs quand c'est possible.
• Limitez l'accès des appareils connectés à votre réseau domestique à l'aide de VLAN, de réseaux invités ou de contrôles d'accès sur le routeur.
• Désactivez les fonctions non utilisées, telles que la caméra ou l'accès distant, si vous n'en avez pas besoin.
• Surveillez les annonces officielles du fabricant et appliquez rapidement les correctifs recommandés.

Ces actions n'éliminent pas tous les risques, mais elles réduisent significativement la probabilité d'exploitation réussie.

Le rôle des programmes de bug bounty et de la communauté

Les programmes de récompense pour la découverte de bugs (bug bounty) encouragent la coopération entre entreprises et chercheurs indépendants. Ils offrent un cadre pour signaler en toute sécurité les vulnérabilités et pour assurer une divulgation coordonnée avant publication publique.

Dans le cas présent, la récompense de 30 000 dollars est un incitatif tangible qui montre l'importance croissante accordée par les fabricants à la sécurité. En parallèle, la communauté peut aider à :

• Identifier des vecteurs d'attaque nouveaux ou émergents.
• Valider l'efficacité des correctifs proposés.
• Fournir des recommandations pour l'amélioration continue de l'architecture de sécurité.

Une relation constructive entre entreprises et chercheurs contribue à une meilleure posture de sécurité globale pour l'écosystème IoT et la domotique.

Analyse stratégique : leçons pour les fabricants

Plusieurs enseignements ressortent de cet incident pour les constructeurs d'appareils connectés :

1. Intégrer la sécurité dès la conception (« security by design ») et non comme une rustine après coup.
2. Adopter le chiffrement end‑to‑end des flux vidéo et des données sensibles.
3. Concevoir des mécanismes d'authentification robustes, résistants au contournement (tokens liés à l'appareil et au compte utilisateur).
4. Souscrire à des audits indépendants réguliers et publier des rapports de sécurité transparents.
5. Mettre en place un programme de remontée de vulnérabilités accessible et réactif, avec des récompenses adaptées.

Ces pratiques contribuent à restaurer la confiance des consommateurs et à réduire les risques liés aux produits connectés à grande échelle.

Perspectives pour l'écosystème IoT et la domotique

L'incident autour des aspirateurs Romo n'est pas isolé ; il s'inscrit dans une série d'événements montrant que l'IoT demeure une cible privilégiée pour des tests de sécurité et des exploits potentiels. À mesure que ces appareils se multiplient et se complexifient, la surface d'attaque globale augmente.

Pour l'écosystème, cela signifie davantage de collaboration public‑privé, un renforcement des standards de sécurité et une meilleure information des consommateurs. Les autorités de normalisation, les fabricants et les chercheurs doivent travailler ensemble pour définir des exigences minimales, des mécanismes d'audit adaptés et des réponses rapides en cas d'incident.

Conclusion : vigilance et amélioration continue

L'affaire Romo rappelle que la sécurité des maisons connectées est un enjeu critique, mêlant protection de la vie privée, intégrité des systèmes et confiance des utilisateurs. Une découverte accidentelle réalisée lors d'une expérimentation ludique a mis en lumière des faiblesses qui, sans réaction coordonnée, auraient pu être exploitées à grande échelle.

La récompense de 30 000 dollars, les correctifs déployés et les engagements d'audits externes constituent des réponses positives. Toutefois, la durabilité de ces améliorations dépendra de l'application continue des meilleures pratiques en cybersécurité, de la transparence des fabricants et de la vigilance permanente des chercheurs et des utilisateurs.

En fin de compte, chaque appareil connecté est une porte potentielle vers l'intérieur d'un foyer. Protéger ces portes demande autant de rigueur technique que de coopération entre acteurs — de la start‑up aux géants de la tech, en passant par la communauté de la sécurité.