Robot hút bụi và quyền riêng tư: mật khẩu mạnh chưa bảo vệ được bản đồ nhà

Ranh giới bảo mật quan trọng nhất của dịch vụ điều khiển robot là mỗi tài khoản chỉ được truy cập đúng thiết bị đã được cấp quyền. Xác nhận một người dùng đăng nhập hợp lệ mới hoàn thành một phần công việc; hệ thống còn phải kiểm tra người đó có được đọc bản đồ hoặc gửi lệnh đến chiếc robot cụ thể hay không.

Ở sự cố Romo, công cụ của Sammy Azdoufal được tạo ra để điều khiển robot bằng tay cầm chơi game, nhưng thông tin xác thực của thiết bị cá nhân lại mở ra phạm vi truy cập rộng hơn nhiều. Sai sót nằm ở chỗ máy chủ chấp nhận khách kết nối rồi không giới hạn đầy đủ dữ liệu mà khách đó được nhận. Đây khác với việc đoán đúng mật khẩu của từng gia đình.

Trong buổi kiểm chứng trực tiếp, The Verge ghi nhận công cụ liệt kê 6.700 thiết bị DJI tại 24 quốc gia và nhận hơn 100.000 bản tin trong 9 phút. Những con số này mô tả phạm vi quan sát trong buổi thử, không phải bằng chứng rằng từng ấy gia đình đã bị kẻ xấu theo dõi. Khi tính thêm trạm điện di động DJI Power dùng chung hệ thống, nguồn này ghi nhận phạm vi truy cập vượt 10.000 thiết bị; không nên gọi toàn bộ số đó là robot hút bụi.

Bản đồ mặt bằng của một robot thuộc người dùng khác cũng đã được đối chiếu với bản đồ trên điện thoại chủ máy. Điều này cho thấy dữ liệu không chỉ là danh sách thiết bị hay thông báo trạng thái vô hại: cấu trúc từng phòng có thể rời khỏi phạm vi tài khoản sở hữu. Mặt bằng nhà không cần mang theo một đoạn video mới trở thành thông tin riêng tư.

Khả năng xem camera cần được tách khỏi khả năng lấy dữ liệu trạng thái. Đến thời điểm buổi kiểm chứng nói trên, quyền điều khiển và xem camera của chiếc máy được dùng để đối chiếu đã bị hạn chế, trong khi dữ liệu và bản đồ vẫn còn truy cập được. Vì vậy, nói mọi robot trong danh sách đều bị xem camera cùng lúc sẽ vượt quá điều đã được kiểm chứng.

Mã hóa đường truyền bảo vệ dữ liệu trên đường đi, còn phân quyền quyết định người nhận có được xem dữ liệu hay không. Hai cơ chế giải quyết những rủi ro khác nhau, nên một kết nối có TLS vẫn có thể dẫn đến lộ thông tin nếu máy chủ đưa dữ liệu cho nhầm tài khoản.

MQTT là cơ chế trao đổi bản tin được sử dụng trong hệ thống này. Có thể hiểu máy chủ trung gian, thường gọi là broker, phân phối các thông báo theo từng chủ đề, chẳng hạn trạng thái hoặc lệnh liên quan đến một thiết bị. Máy khách gửi và nhận bản tin qua đó thay vì phải duy trì một đường kết nối trực tiếp riêng với mọi robot.

Với mô hình ấy, danh sách kiểm soát truy cập ở cấp chủ đề phải giới hạn mỗi bên vào đúng phạm vi được cấp phép. Nếu máy khách đã xác thực lại được đăng ký nhận quá rộng, nó có thể thấy bản tin của thiết bị khác ở tầng ứng dụng. TLS vẫn có thể hoạt động đúng trong tình huống đó: dữ liệu được mã hóa khi truyền đến máy khách, rồi được giải mã tại bên nhận mà máy chủ đã cho phép sai.

DJI xác nhận sự cố liên quan đến kiểm tra quyền ở hệ thống phía máy chủ đối với giao tiếp MQTT, đồng thời cho biết kết nối từ Romo đến máy chủ luôn được mã hóa bằng TLS. Vì vậy, giải pháp cần nằm ở việc sửa kiểm tra quyền và triển khai bản sửa đầy đủ trên dịch vụ, không phải chỉ thêm mã hóa vào một đường truyền vốn đã có nó.

Đây cũng là lý do mật khẩu phức tạp không tự chữa được lỗi này. Mật khẩu mạnh giúp giảm nguy cơ tài khoản bị chiếm, nhưng tài khoản gây ra truy cập ngoài phạm vi trong trường hợp này vốn đã được hệ thống nhận diện là hợp lệ. Người dùng không có quyền sửa danh sách truy cập của broker thuộc nhà sản xuất.

Bản vá đã được công bố, nhưng cần đọc đúng phạm vi cam kết

Sự cố đã được công bố khắc phục không nên bị trình bày như một cuộc tấn công đang diễn ra. Theo giải trình DJI gửi cho The Verge, hãng triển khai bản sửa đầu vào ngày 8/2/2026 và hoàn tất cập nhật tiếp theo ngày 10/2; bản đầu chưa được áp dụng đồng đều trên mọi nút dịch vụ. Hãng cho biết việc khắc phục được thực hiện tự động, không yêu cầu chủ máy thao tác.

Trong thông báo trên DJI Viewpoints ngày 6/3/2026, DJI tiếp tục xác nhận quá trình xử lý đã kết thúc. Hãng nói hoạt động quan sát được chủ yếu liên quan đến thử nghiệm của các nhà nghiên cứu bảo mật và cuộc điều tra không tìm thấy bằng chứng dữ liệu người dùng bị sử dụng sai mục đích. Đây là kết luận DJI công bố, không có nghĩa rằng việc truy cập ngoài quyền trước đó chưa từng tồn tại.

Cũng không nên kéo trạng thái của một lỗ hổng khác từ tháng 2 sang hiện tại. Ở bản cập nhật ngày 17/2, bài kiểm chứng còn đề cập những vấn đề riêng mà nhà nghiên cứu báo cáo và cam kết xử lý tiếp của hãng. Chi tiết ấy cho thấy cần phân biệt từng lỗi, nhưng không đủ để kết luận chúng vẫn còn mở vào tháng 10.

Đối với người mua, điều đáng yêu cầu ở nhà sản xuất là thông tin rõ về phạm vi ảnh hưởng và cách vá, cùng khả năng tiếp tục hỗ trợ bảo mật. Một chứng nhận hay lời quảng bá mã hóa có thể hữu ích, nhưng không thay được việc kiểm tra quyền truy cập đang được thực thi đúng trên dịch vụ thực tế.

Khả năng bảo vệ dữ liệu đáng được xem như một phần của giá trị sử dụng, thay vì một tùy chọn chỉ xét sau lực hút và trạm giặt giẻ. Với người mua trong nước, mốc tham khảo trong danh mục CellphoneS là 13.990.000 đồng cho DJI Romo S; giá bán có thể thay đổi theo thời điểm và chương trình của nhà bán lẻ. Sự hiện diện của dòng sản phẩm ở thị trường Việt Nam khiến câu chuyện hỗ trợ phần mềm có ý nghĩa thực tế, không chỉ là vấn đề của thiết bị bán ở nước ngoài.

Trước khi mua, nên yêu cầu nơi bán hoặc bộ phận hỗ trợ chỉ rõ máy làm được gì khi mất Internet. Nếu người mua chủ yếu cần dọn theo lịch tại nhà, khả năng duy trì chức năng cơ bản mà không phải trao đổi dữ liệu liên tục với dịch vụ bên ngoài sẽ đáng giá hơn một tính năng quan sát từ xa ít dùng. Tuy vậy, không nên suy ra máy có chế độ cục bộ chỉ vì ứng dụng vẫn mở được khi điện thoại nối Wi-Fi.

Câu hỏi tiếp theo là dữ liệu nào được lưu trên robot, loại nào gắn với tài khoản, và thao tác xóa bản đồ khác gì xóa dữ liệu trên máy chủ. Khi chuyển nhượng hoặc đổi chủ thiết bị, khôi phục cài đặt và gỡ liên kết tài khoản phải làm theo hướng dẫn của đúng hãng; xóa ứng dụng trên điện thoại không nên được coi là đã hoàn tất việc chuyển quyền sở hữu.

Nếu đã có robot, người dùng vẫn nên đặt mật khẩu riêng, bật xác thực hai yếu tố khi dịch vụ hỗ trợ và duy trì cập nhật phần mềm. Những biện pháp ấy bảo vệ các phần người dùng có thể kiểm soát, nhưng cần đi cùng việc rà lại quyền chia sẻ thiết bị và tắt chức năng camera, micro hoặc truy cập từ xa không cần thiết nếu mẫu máy cho phép.

Không cần kết luận rằng mọi robot nối mạng đều không đáng mua. Đánh đổi hợp lý là chỉ bật những chức năng mà gia đình thực sự cần, đồng thời ưu tiên mẫu máy giải thích rõ dữ liệu ra khỏi nhà như thế nào. Khi nhà sản xuất chỉ nhấn vào mã hóa mà không nói về quyền truy cập và khả năng xóa dữ liệu, người mua vẫn còn thiếu một phần quan trọng để quyết định.

Nguồn tham khảo: DJI Viewpoints: thông báo khắc phục và bảo mật Romo; The Verge: kiểm chứng sự cố DJI Romo; Engadget: robot hút bụi và quyền riêng tư; CellphoneS: danh mục robot hút bụi DJI.