Si vous voulez recevoir les meilleures actus Frandroid sur WhatsApp, rejoignez cette discussion.
Un développeur vient de prendre le contrôle de plus de 10 000 appareils DJI (dont 7 000 robots aspirateurs Romo - lien affilié) répartis dans 24 pays... en voulant juste piloter le sien avec une manette PS5.
Oui oui c'est un grand malade ^^.
À la base, Sammy Azdoufal, responsable IA chez Emerald Stay, voulait juste s'amuser avec son aspi alors il a d'abord essayé d'y connecter sa manette DualSense en Bluetooth, et puis il a fini par utiliser Claude Code pour décompiler l'appli mobile DJI (version Android) et reverse-engineerer les protocoles MQTT de DJI. Bien sûr, il lui fallait un token d'auth pour prouver qu'il était bien proprio du Romo et jusque-là, rien de méchant...
Sauf que le broker MQTT de DJI n'avait AUCUN contrôle d'accès au niveau des topics (c'est la chaîne de caractères qui sert d'adresse pour router les messages entre les publishers et les subscribers). Du coup, avec un seul token TLS, il voyait le trafic de tous les appareils en clair sur le broker cloud de DJI. Pas de brute force, pas d'exploit sophistiqué mais juste un pauvre token et un client MQTT.
Et hop, le voilà avec les flux vidéo des caméras embarquées, les micros, les plans 2D des maisons, les adresses IP et les numéros de série de milliers de machines. Un journaliste de The Verge lui a même filé son numéro de série, et depuis Barcelone, Azdoufal a pris le contrôle de son Romo, a pu voir qu'il était à 80% de batterie et en train de nettoyer le salon, pour finir par générer le plan de l'appart. Flippant hein ??
En gros, DJI avait un problème de validation de permissions côté backend. Ils l'ont patché début février sauf que... Azdoufal a trouvé une DEUXIÈME faille (un bypass du PIN caméra) qui serait toujours pas corrigée. Et c'est pas fini, le bonhomme aurait encore 2 autres vulnérabilités majeures sous le coude qu'il n'a pas divulguées publiquement et sur lesquelles DJI bosse activement pour les corriger. Cerise sur le gâteau, les batteries DJI Power étaient aussi accessibles via cette archi MQTT. Ce sont de grosses batteries portables qu'on garde chez soit pour avoir un peu de jus en cas de coupure de courant ou quand on est off the grid..
Attention par contre, si vous avez un Romo, vérifiez bien que le firmware est à jour. Vous vous en doutez, DJI a d'abord nié le problème avant de finalement patcher mais bon, moi aussi j'ai une caméra sur mon aspi robot et comme j'adore me balader en slip chez moi, je plains le hacker qui passera par là... Et je vous raconte pas quand on aura des robots humanoïdes comme ce qu'on a vu avec la faille des robots Unitree , tiens...
Ce 24 février 2026, une affaire retient l’attention sur X : celle de Sammy Azdoufal, un ingénieur ayant découvert involontairement une faille de sécurité affectant les aspirateurs de la marque chinoise DJI.
Lancée lors de l’IFA 2024, la marque Mova est en quelque sorte l’équivalent pour Dreame de ce que Poco est à Xiaomi : une filiale reprenant l’expertise du second tout en tirant les prix vers le bas. C’est exactement l’objet de toute la nouvelle gamme présentée par la marque lors du CES cette semaine, qui s’articule autour de trois aspirateurs robots qui misent sur la puissance d’aspiration.
S’il reprend à son compte un design parfois difficile à distinguer de celui de ses pairs, le Mova V70 Ultra Complete est le nec plus ultra des aspirateurs robots laveurs du cru 2026 de la marque. Avec son moteur ultrapuissant, le V70 annonce une puissance d’aspiration de 40 000 Pa. Un record pour la marque, qui laisse présager un sol plus immaculé que jamais. D’autant qu’à ce chiffre s’ajoute un autre : 300 tours par minute. C’est la vitesse de rotation de ses pads destinés à laver le sol après avoir terminé son tour d’aspiration.
L’autre nouveauté du Mova V70 Ultra Complete réside dans sa station EcoCycle. Contrairement à la plupart de ses concurrents, qui utilisent encore des sacs à poussière jetables, Mova mise sur un bac de collecte sans sac. Peut-être un peu plus contraignant pour certains utilisateurs, mais une source d’économies potentielle pour d’autres. Il faudra toutefois prévoir des sessions de nettoyage du bac plus régulières.
Enfin, et comme la plupart des aspirateurs robots présentés au CES cette année, le V70 Ultra Complete s’équipe de pattes lui permettant de franchir des obstacles jusqu’à 8 cm de haut. Diverses caméras l’aident enfin à établir un parcours exhaustif et à éviter les obstacles qui peuvent se dresser sur sa route lors de son cycle.
Si le V70 Ultra Complete vise à repousser les limites de l’aspiration, son petit frère, le S70 Ultra Roller, vient perfectionner l’existant avec quelques ajustements bienvenus. En l’occurrence, ce modèle mise sur sa grande finesse (90 mm seulement) pour se glisser partout, comme sous vos meubles ou votre canapé. Grâce à la technologie HydroForce, le S70 Ultra gagne aussi en puissance de pulvérisation d’eau : l’eau est immédiatement aspirée et mise à l’écart pour éviter sa réutilisation et la dispersion de la saleté sur vos sols. Avec sa station de lavage à 100 ºC, le rouleau est en quelque sorte remis à neuf après chaque cycle.
Enfin, le Mova P70 Pro Ultra s’essaie à l’exercice du flagship killer en proposant le meilleur rapport qualité-performances-prix (sans que ce dernier soit pour l’instant précisé, mais son prédécesseur s’affichait à sa sortie à 799 €). Offrant une puissance d’aspiration de 30 000 Pa et des pads qui s’animent à 260 tours par minute, il bénéficie également d’une station de lavage à 100 ºC pour des sols toujours propres.
En plus de ses nouveaux aspirateurs robots laveurs, Mova annonce également une nouvelle gamme de robots tondeuses, ainsi que de robots nettoyeurs de piscines et même une imprimante 3D. Le prix et la date de sortie de ces nouveaux appareils seront communiqués ultérieurement.
Connexion