Une manette PS5, un aspirateur DJI Romo et une faille qui mettraient votre maison en danger
Ce qui a commencé comme un petit bricolage ludique s’est transformé en découverte alarmante. En voulant piloter son robot aspirateur DJI Romo avec une manette PS5, un propriétaire a fini par révéler une faille d’authentification capable d’exposer cartes d’intérieur et flux vidéo d’un grand nombre d’appareils DJI. L’affaire illustre à quel point une mauvaise implémentation de la sécurité IoT peut transformer un objet domestique en porte d’entrée vers la vie privée des utilisateurs.
Du hack ludique à la découverte de la vulnérabilité
Sammy Azdoufal, utilisateur de Romo, souhaitait simplement s’amuser : contrôler son robot avec un DualSense PS5. Pour cela, il a entrepris de rétro‑ingénierie l’application mobile DJI et d’analyser le protocole de communication. Il a sollicité l’aide d’un modèle d’IA spécialisé dans le code (Claude Code) pour décoder les échanges entre l’application et le robot et générer l’outil de commande. L’IA a aidé à comprendre le protocole et à créer un outil de contrôle à distance.
La surprise est venue lorsque cet outil a révélé qu’un token d’authentification extrait de l’application permettait d’accéder bien au‑delà du seul appareil de Sammy : il offrait une fenêtre vers d’autres robots et power stations de la flotte DJI.
MQTT et tokens mal cloisonnés : le nœud du problème
Les robots Romo utilisent MQTT, un protocole léger très courant dans l’Internet des objets, pour échanger des messages avec les serveurs DJI et l’application mobile. MQTT, correctement configuré, peut être sûr, mais la mise en œuvre de l’authentification chez DJI présentait une faiblesse : le token délivré par l’application n’était pas strictement lié à un seul appareil ou à un scope d’accès limité.
Autrement dit, une fois ce token en main, il était possible d’interroger des ressources liées à d’autres appareils : récupérer des métadonnées, des plans d’appartement générés par le robot, et dans certains cas des flux vidéo. Ce défaut d’isolation des tokens a rendu l’ensemble de la flotte potentiellement accessible.
Des plans d’intérieur et des flux vidéo à portée de main
Les conséquences sont particulièrement inquiétantes. Le chercheur a pu consulter :
Ces informations révèlent l’agencement des pièces, la présence d’objets sensibles, et peuvent, dans le pire des scénarios, permettre une surveillance à distance des habitudes des occupants. Le risque est évidemment majeur en termes de vie privée et potentiellement d’atteinte à la sécurité domestique.
La réaction de DJI et les corrections appliquées
Alertée de la faille, DJI a réagi en corrigeant les points les plus critiques. L’entreprise a modifié son mécanisme d’authentification pour réduire l’accès indiscriminé et empêcher l’exploitation massive des tokens. Ces correctifs ont limité la possibilité de lister ou de consulter en bloc les données d’autres utilisateurs.
Cependant, la société n’a pas forcément totalement éradiqué toutes les vulnérabilités. Des éléments résiduels subsistent, notamment la possibilité signalée de contourner le PIN requis pour visionner certains flux vidéo — un dernier garde‑fou qui, s’il est contournable, affaiblit la protection globale.
Le rôle ambivalent de l’IA dans la découverte
Il est intéressant de noter que l’IA a joué un rôle d’accélérateur dans la découverte : Claude Code a permis d’automatiser et d’accélérer l’analyse du protocole et la génération d’un outil de contrôle. Cela illustre un paradoxe : l’IA facilite la recherche de vulnérabilités de manière productive et responsable, mais la même automatisation peut, entre de mauvaises mains, faciliter des attaques sophistiquées par des personnes moins qualifiées.
Leçons pour la sécurité des objets connectés
Plusieurs enseignements à tirer de cet incident :
Que peuvent faire les utilisateurs dès maintenant ?
Impact plus large : responsabilité des fabricants
Cette affaire rappelle la responsabilité critique qui pèse sur les fabricants d’objets connectés. Lorsqu’un appareil collecte des données sensibles (cartes d’intérieur, flux vidéo), la conception sécurisée n’est pas facultative : elle doit être pensée dès l’architecture. Une seule erreur de design, comme la gestion laxiste d’un token, peut exposer des milliers de dispositifs en circulation.
Le cas montre aussi l’importance d’un dialogue constructif entre chercheurs indépendants et industriels : une divulgation responsable a permis la correction d’au moins une partie du problème. Les modalités de notification, de correction et de déploiement des patchs doivent être robustes et rapides pour protéger les utilisateurs au quotidien.