Une évaluation indépendante de la sécurité de deux systèmes de drones DJI populaires n’a trouvé aucune preuve claire de portes dérobées cachées, aucune transmission de données en dehors des États-Unis et aucune voie viable de détournement ou de militarisation. L’évaluation, menée par la société de cybersécurité OnDefend entre octobre 2025 et mars 2026, a répondu aux principales préoccupations de sécurité nationale entourant le constructeur. Les résultats offrent un avantage significatif à DJI, confirmant que ses appareils ne posent aucune menace de cybersécurité critique ou à haut risque pour les opérateurs.

OnDefend, une entreprise à laquelle font confiance les acteurs de la sécurité nationale pour tester les technologies et protéger les données des citoyens, a effectué une évaluation technique rigoureuse du DJI Air 3S et du DJI Matrice 4E. L’évaluation a porté sur les drones, leurs contrôleurs correspondants (les RC 2 et RC Plus 2 Enterprise) et les applications mobiles DJI Fly et Pilot 2. Pour garantir l’intégrité de la chaîne d’approvisionnement, les unités d’entreprise ont été tirées du stock existant des concessionnaires, tandis que les modèles grand public ont été achetés indépendamment sans notification préalable à DJI.

Les tests complets ont été divisés en deux niveaux : les tests standard, qui évaluaient la sécurité des applications et du réseau, et les tests avancés, qui utilisaient une analyse matérielle propriétaire pour découvrir les risques cachés. Les tests avancés comprenaient l’imagerie numérique et le catalogage de chaque puce et composant afin d’établir une base de référence matérielle fiable. L’intelligence artificielle a été utilisée pour comparer les images actuelles avec les enregistrements passés afin de détecter les contrefaçons, les falsifications ou les modifications non documentées dans les chaînes d’approvisionnement mondiales. De plus, des techniques de simulation d’adversaires ont été utilisées, notamment des tests d’interception, de décryptage et de redirection, pour garantir la robustesse des protocoles de communication des drones. Le protocole propriétaire O4 s’est révélé totalement résistant aux attaques par relecture, brouillage et injection.

L’un des principaux objectifs de l’engagement était de déterminer si les contrôleurs ou les applications de contrôle de vol transmettaient des données télémétriques, d’imagerie ou géospatiales sensibles à des systèmes non américains. Grâce à une capture approfondie des paquets et à une analyse de la destination, les chercheurs n’ont trouvé aucune preuve d’exfiltration de données vers des serveurs étrangers. Toutes les connexions observées ont été résolues vers des points de terminaison basés aux États-Unis, y compris l’infrastructure de diffusion de contenu associée à Alibaba et Tencent, ainsi que des services attendus tels que Google, Facebook et Amazon.

De plus, l’évaluation a validé l’efficacité du mode de données locales de DJI. Cette fonctionnalité a réussi à empêcher l’envoi de données utilisateur vers des sites Internet à partir de l’application de contrôle de vol du drone, bien que les chercheurs aient noté que le système d’exploitation du contrôleur lui-même n’était pas complètement isolé du réseau. Pour une isolation complète, il est conseillé aux opérateurs de désactiver complètement la connexion réseau sans fil du contrôleur.

En plus de l’analyse logicielle, l’engagement a examiné de près les vulnérabilités matérielles pour déterminer si les drones émettaient des fréquences radio non documentées. De telles émissions pourraient indiquer des canaux de communication secrets ou des chemins cachés d’exfiltration de données. Après un balayage à large spectre de 1 MHz à 6 GHz et une analyse des composants en champ proche, OnDefend n’a identifié aucune émission radio inexpliquée. Bien que certaines émissions n’aient pas été incluses dans les documents déposés par le fabricant au début de l’évaluation, il a été confirmé par la suite qu’elles étaient des artefacts attendus de méthodes documentées de synthèse de signaux et qu’elles avaient été modifiées en corrélation directe avec les états de fonctionnement connus.

Malgré l’absence de vulnérabilités critiques, l’évaluation a identifié 10 constatations à faible risque et 13 observations. Celles-ci étaient principalement liées aux configurations de sécurité des applications, à la gestion des sessions et au renforcement du réseau sans fil. Les problèmes spécifiques à faible risque comprenaient des scripts intersites persistants, des protocoles de sécurité de couche de transport faibles et des jetons d’authentification exposés dans les URL des applications mobiles. Un mot de passe partagé par défaut a également été identifié lors des tests standard, que DJI a rapidement corrigé via une mise à jour du micrologiciel. Les évaluateurs ont conclu qu’aucune de ces faiblesses mineures ne présentait un risque réaliste pour la sécurité du fonctionnement des drones ou pour la divulgation généralisée d’informations confidentielles.

En fin de compte, les résultats suggèrent que les craintes entourant l’utilisation opérationnelle de ces drones DJI spécifiques pourraient être exagérées. DJI a collaboré avec les inspecteurs de sécurité tout au long du processus pour résoudre les problèmes de correction potentiels et travaillerait apparemment à résoudre les problèmes restants dans les versions logicielles ultérieures. Les opérateurs peuvent continuer à faire fonctionner les drones avec des contrôles compensatoires pendant que DJI corrige les résultats restants à faible risque. Cette approche du risque résiduel est bien établie dans les pratiques de sécurité de l’information et est conforme aux directives standard. Le rapport prévient toutefois que cette évaluation individuelle est limitée par un calendrier précis. Pour maintenir une assurance continue concernant la sécurité nationale, des tests de validation continus du micrologiciel, des mises à jour logicielles et de l’intégrité du matériel sont recommandés sur toute la gamme d’appareils afin de devancer l’adversaire et de sécuriser les opérations futures.

En rapport