KALIMANTAN TIMUR — Peneliti keamanan Sammy Azdoufal menemukan celah pada sistem backend robot vacuum DJI Romo yang memungkinkan akses ke perangkat pengguna lain, bukan hanya miliknya sendiri. DJI menyatakan masalah izin akses itu sudah ditutup lewat dua pembaruan firmware yang dirilis 10 Februari 2026. Temuan ini menyoroti risiko privasi perangkat rumah pintar yang makin banyak dipakai konsumen Indonesia.
Celah tersebut muncul saat Azdoufal mencoba mengendalikan unit DJI Romo miliknya dari jarak jauh. Alih-alih hanya menjangkau perangkatnya sendiri, ia mendapati sistem komunikasi antar-perangkat membuka akses ke robot vacuum milik pengguna lain.
Untuk membongkar mekanisme itu, Azdoufal memakai Claude Code guna merekayasa balik sistem komunikasi antar-perangkat. Peran AI dalam proses tersebut bersifat alat bantu, bukan penyebab utama celah keamanan.
Inti masalahnya ada pada pemeriksaan keamanan di sisi server yang gagal membatasi akses. Server mengenali pengguna sebagai pelanggan sah, tetapi tidak memverifikasi bahwa perangkat yang diakses benar-benar miliknya.
Karena itu, kata sandi rumit sekalipun tidak cukup menutup celah. Perbaikan harus datang dari sisi backend dan firmware, bukan dari kebiasaan pengguna semata.
Dampak yang disebut dalam temuan ini cukup luas. Robot vacuum mampu memetakan lantai rumah, menyimpan riwayat pembersihan, dan merekam percakapan pribadi di sekitarnya.
Persoalan privasi tidak berhenti pada celah akses. Robot vacuum yang terhubung internet bisa mengirim informasi ke produsennya selama beroperasi, termasuk aktivitas pembersihan, status perangkat, peta lantai, dan benda yang terdeteksi.
Kebijakan privasi iRobot menyebut model yang terkoneksi internet dapat mengirim data lebih rinci. Cakupannya meliputi nama ruangan, jenis lantai, benda terdeteksi, pergerakan robot, hingga detail jaringan Wi-Fi.
Belum ada satu produk yang secara definitif dinobatkan sebagai pilihan paling ramah privasi. Yang bisa dilakukan adalah meminimalkan jumlah informasi yang dikirim keluar rumah.
Sebelum membeli, baca kebijakan privasi perangkat dengan saksama. Perhatikan juga apakah navigasi dan pemrosesan gambar dilakukan langsung di perangkat atau harus lewat cloud.
Fitur yang mewajibkan koneksi cloud sebaiknya jadi pertimbangan serius. Telusuri pula penjelasan perusahaan soal cara data diagnostik dibagikan ke pihak lain.
Memilih varian tanpa kamera mengurangi risiko paparan informasi visual. Namun perangkat seperti itu tetap bisa membuat peta rumah dan mengirim data akun, jadi bukan berarti bebas pengumpulan data.
Bagi pasar Indonesia, kasus DJI Romo menjadi pengingat bahwa perangkat rumah pintar menyimpan data yang jauh lebih sensitif dari sekadar jadwal bersih-bersih. Peta ruangan dan rekaman audio adalah informasi yang tidak bisa diganti seperti kata sandi.
Produsen perangkat IoT di dalam negeri menghadapi tuntutan serupa, terutama dengan berlakunya UU Pelindungan Data Pribadi yang mewajibkan pengelolaan data secara transparan. Pengguna yang cermat membaca kebijakan privasi sebelum membeli akan berada di posisi lebih aman.