Un ingeniero de software descubrió que su robot aspiradora iLife A11 enviaba constantemente datos a servidores en China y contenía una puerta trasera (backdoor) que permitía el control remoto total del dispositivo.
Tras bloquear el tráfico de telemetría, la aspiradora dejó de funcionar, revelando luego que el fabricante podía apagar o reactivar el dispositivo a distancia. El hallazgo expone graves riesgos de seguridad y privacidad en millones de aparatos domésticos inteligentes fabricados por la empresa china 3irobotix, proveedor de marcas como Xiaomi, Wyze, Viomi y Proscenic.
Una aspiradora que espía: la historia de un hallazgo inquietante
Lo que comenzó como un simple intento de proteger su privacidad terminó en una investigación de ciberseguridad digna de una película de espionaje.
El ingeniero Harishankar Narayanan, usuario satisfecho de una iLife A11, decidió bloquear las direcciones IP a las que el dispositivo enviaba constantemente datos.
Pero tras hacerlo, su aspiradora de 300 dólares se apagó de forma repentina… y nunca volvió a funcionar correctamente.
“La envié al servicio técnico. Me dijeron que funcionaba perfectamente. La devolvieron y volvió a encenderse unos días… hasta que volvió a morir”, relató Narayanan en su blog Small World.
Lo que parecía una simple falla técnica escondía algo mucho más grave: una puerta trasera activa utilizada para controlar o inutilizar el dispositivo de forma remota.
El descubrimiento: un sistema Linux con acceso root remoto
Con la garantía ya vencida, Narayanan decidió abrir el dispositivo para entender por qué había “muerto”.
Lo que encontró fue alarmante:
- Un Android Debug Bridge (ADB) abierto, sin autenticación.
- El dispositivo ejecutaba Linux, con cámara y sensores activos.
- Acceso root posible tras modificar algunas rutinas del sistema.
- Credenciales WiFi sin cifrar enviadas a servidores del fabricante.
Además, la aspiradora usaba Google Cartographer, una potente herramienta de mapeo SLAM (Simultaneous Localization and Mapping), diseñada para crear mapas 3D del entorno… pero que también podría usarse para espiar el diseño del hogar y patrones de movimiento de sus habitantes.
Una puerta trasera con función de “interruptor de muerte”
El hallazgo más grave fue un registro del sistema con una marca de tiempo exacta: alguien había accedido remotamente al robot y modificado el script de inicio, impidiendo que el sistema principal arrancara.
“El momento coincidía exactamente con cuando el robot dejó de funcionar, aunque yo no toqué la app”, escribió Narayanan.
Dentro del software, el ingeniero también descubrió un paquete llamado “rtty”, una herramienta que permite control total remoto del dispositivo: modificar archivos, ejecutar comandos o instalar scripts, todo sin que el usuario lo sepa.
“No solo crearon una puerta trasera, la usaron. Descubrí que este aparato nunca fue realmente mío”, afirmó.
Narayanan comprobó que, al conectar la aspiradora a una red abierta, el fabricante podía “revivirla” remotamente, pero al bloquear la conexión otra vez, el dispositivo quedaba inutilizable.
El problema es mucho más grande: millones de dispositivos afectados
El desarrollador compartió su hallazgo con Cybernews, revelando que muchas otras marcas utilizan el mismo hardware y software provistos por el fabricante 3irobotix, responsable del modelo CRL-200S.
Entre las marcas afectadas podrían encontrarse:
- Xiaomi
- Wyze
- Viomi
- Proscenic
- Cecotec Conga 3290
- Proscenic M6 Pro, entre otros.
“Todo el tráfico de red se dirige a los servidores de 3irobotix. No hay ningún rastro de servidores de iLife”, explicó Narayanan.
Esto significa que millones de hogares podrían tener dispositivos conectados con cámaras, micrófonos y sensores capaces de transmitir información sensible a servidores externos.
Expertos advierten: los robots domésticos pueden ser armas de espionaje
El investigador de ciberseguridad Aras Nazarovas, de Cybernews, explicó que la presencia de herramientas como “rtty” en dispositivos domésticos es sumamente preocupante.
“Este tipo de software permite un control total y podría usarse para extraer datos, activar cámaras o mapear espacios privados. Es una invasión silenciosa”, advirtió.
Según Nazarovas, incluso si la puerta trasera fue implementada con fines de prueba o mantenimiento, dejarla activa en versiones comerciales es una grave negligencia de seguridad.
“Una aspiradora comprometida puede acceder a la red doméstica, conectarse a computadoras o teléfonos, y crear mapas detallados del hogar. Es una amenaza real.”
Cómo protegerse de dispositivos inteligentes inseguros
Los expertos recomiendan medidas básicas para reducir riesgos con dispositivos IoT (Internet de las Cosas):
- 🧱 Separar la red doméstica: crear una red WiFi exclusiva para dispositivos inteligentes.
- 🔄 Mantener firmware actualizado: aplicar parches y actualizaciones del fabricante.
- 🚫 Limitar la telemetría: bloquear comunicaciones innecesarias hacia servidores externos.
- 🕵️ Usar firewall o VLAN: para evitar conexiones directas con equipos personales.
- ⚙️ Revisar permisos de aplicaciones: especialmente las que piden acceso a micrófono o cámara.
La investigación continúa
Narayanan sigue analizando el firmware del robot y publicando sus hallazgos en un repositorio de GitHub, donde documenta el código y los comportamientos sospechosos detectados. Su meta es descubrir quién envió el comando remoto y qué datos fueron realmente transferidos a los servidores de 3irobotix.
El caso ha abierto un debate internacional sobre la seguridad en los dispositivos inteligentes, especialmente aquellos con sensores, cámaras o conexión constante a la nube.
El incidente del iLife A11 demuestra que la comodidad tecnológica puede tener un precio alto: la pérdida de privacidad y control.
Una simple aspiradora inteligente puede transformarse en una herramienta de vigilancia o sabotaje, si no se supervisa adecuadamente su diseño y seguridad.
💡 La lección es clara: en la era del Internet de las Cosas, los dispositivos inteligentes no siempre trabajan para ti… a veces trabajan sobre ti.
Fuente: somoslibres
