Robots aspiradores: el reseteo no acredita el borrado

Algunos robots aspiradores se pueden restablecer de dos maneras. Un botón específico del aparato borra solo la conexión wifi, para que el robot se pueda integrar rápidamente en otra red. El borrado completo se hace desde la aplicación o con una combinación de botones que figura en el manual de instrucciones. Cuando el aparato llega a la recepción de mercancía, no hay forma de saber cuál de las dos opciones eligió el propietario anterior.

Y lo que queda en el aparato no es poco. En sus recomendaciones para consumidores (en alemán), el BSI, la Oficina Federal de Seguridad de la Información de Alemania, explica que los robots aspiradores pueden utilizar cámaras para reconocer objetos, cartografían la superficie del suelo y almacenan en parte los datos que se generan, también en la nube del fabricante. A ello se suman las credenciales de la red wifi en la que funcionaba el aparato.

En julio explicamos en el artículo Devoluciones de electrónica conformes al RGPD cómo se combinan la verificación IMEI, el borrado de datos y el certificado en smartphones, tabletas y portátiles. En los robots aspiradores, los dispositivos de hogar inteligente y otros aparatos conectados no suele existir una herramienta de borrado propia. Existe el reseteo, y en él se depositan todas las esperanzas.

Aparato, cuenta y nube: tres lugares donde están los datos

Quien hable de borrado en aparatos conectados tiene que distinguir tres niveles.

En el aparato está lo que necesita para funcionar. En una ponencia en la DEF CON de 2019, el investigador de seguridad Dennis Giese enumeró lo que conservan los dispositivos de hogar inteligente usados: credenciales wifi, puntos de acceso cercanos, archivos de registro de la comunicación con la nube y mapas.

La cuenta en la aplicación del fabricante asigna el aparato a una persona. Mientras exista esa vinculación, el robot sigue perteneciendo digitalmente a su usuario anterior, aunque físicamente lleve tiempo sobre un banco de trabajo de nuestro centro de servicio en Heiligenhaus (Alemania).

En la nube se guardan los mapas, los historiales y los ajustes que el aparato ha subido. Quien solo tiene el aparato en la mano no llega a esos datos. Pueden borrarlos el titular de la cuenta o el fabricante.

Por eso, un proveedor de servicios solo puede tratar y documentar el primer nivel. En cuanto a la cuenta y la nube, puede dejar constancia de si al recibir el aparato todavía se reconocía una vinculación e informar de ello a su cliente.

Qué consigue el restablecimiento de fábrica

El restablecimiento de fábrica es el paso más evidente y, en muchos aparatos, el único que ofrece el fabricante. El compendio IT-Grundschutz del BSI lo exige expresamente para los dispositivos IoT. Pero justo a continuación indica que después hay que cambiar todas las credenciales guardadas en el aparato. Es decir, el BSI no se fía solo del reseteo.

Los análisis de aparatos usados realizados por Giese muestran por qué. Los encontró en tres estados: sin restablecer, con solo la wifi restablecida y completamente borrados. Ni siquiera el tercer estado era una garantía. En un robot aspirador que el propietario anterior había restablecido a los valores de fábrica, Giese encontró en la memoria flash extraída fragmentos de archivos de registro, claves, mapas y credenciales wifi. Incluso después de otros tres reseteos seguían siendo legibles restos de datos. En otro modelo, el reseteo formateaba la partición de datos, pero no la sobrescribía.

En los smartphones actuales, en cambio, el BSI considera suficiente el restablecimiento de fábrica, porque actúan el cifrado y la protección de acceso. En smartphones más antiguos puede bastar, pero no necesariamente. Lo decisivo es cómo está construido el aparato: si los datos del usuario están cifrados y el reseteo destruye la clave, es eficaz. Si solo marca los archivos como borrados, no lo es. Desde fuera, la diferencia no se aprecia.

La directriz estadounidense NIST SP 800-88 clasifica el reseteo del fabricante en consecuencia. Lo sitúa en el nivel «Clear», el más débil de los tres, y solo si ya no se pueden recuperar datos a través de la interfaz de usuario normal. «Clear» protege contra una recuperación sencilla a través de la misma interfaz que tiene el usuario. No excluye a quien desuelde el chip de memoria y lo lea.

Qué ha cambiado con NIST SP 800-88 Rev. 2

En septiembre de 2025, el NIST publicó la revisión 2 de esta directriz, que sustituye a la versión de 2014. Para fabricantes, distribuidores y empresas de reacondicionamiento hay cuatro cambios importantes:

• Desaparecen las tablas con métodos de borrado por tipo de soporte. Para las técnicas concretas, el NIST remite a la norma IEEE 2883 y a otros estándares. La directriz solo sigue tratando por sí misma el borrado criptográfico.
• El eje central es un programa de borrado de la organización, con política, responsabilidades, formación, mantenimiento de herramientas y obligaciones de documentación.
• Es nueva la separación entre verificación y validación. La verificación comprueba si el proceso se ha completado sin errores. La validación decide si el resultado es suficiente para la sensibilidad de los datos.
• No hace falta sobrescribir varias veces. En los soportes modernos apenas aporta protección y, en la memoria flash, acorta su vida útil.

Por eso, un certificado con la mención «conforme a NIST 800-88» dice poco mientras no indique qué nivel se alcanzó y con qué herramienta.

Acordar el alcance del borrado antes de la reparación

Si hay que borrar o no depende de adónde va el aparato después. Si un cliente recibe de vuelta su robot aspirador reparado, quizá quiera conservar sus mapas. Si el aparato se sustituye o se revende como producto de outlet, los datos del propietario anterior tienen que desaparecer. Esto debe figurar en el encargo antes de que el primer aparato llegue al banco de trabajo. De hecho, el BSI ya recomienda a los consumidores hacer una copia de seguridad de sus datos antes de una reparación.

Le recomendamos acordar con su proveedor de servicios, como mínimo, estas cuestiones:

• ¿Qué grupos de aparatos se borran y cuáles se quedan como están?
• ¿Qué procedimiento se aplica a cada grupo?
• ¿Qué ocurre con los aparatos que ya no arrancan y que, por tanto, no se pueden restablecer? Las opciones son extraer y destruir la memoria o registrar un caso excepcional documentado.
• ¿Quién se encarga de desvincular el aparato de la cuenta del usuario?

Para los responsables de protección de datos se suma la cuestión de la prueba. El RGPD exige una seguridad adecuada de los datos personales (art. 5, apdo. 1, letra f, y art. 32) y obliga al responsable del tratamiento a poder demostrar su cumplimiento (art. 5, apdo. 2). El IT-Grundschutz del BSI exige que, cuando intervienen proveedores externos, el proceso de borrado sea «suficientemente seguro y trazable». Qué obligaciones se aplican en su caso, por ejemplo si se necesita un contrato de encargo del tratamiento, es algo que conviene aclarar con su asesoría en protección de datos. Este artículo no sustituye al asesoramiento jurídico.

En PST, el alcance del borrado se acuerda y se documenta con el cliente antes de empezar el encargo.

Qué debe contener un registro de borrado

Un registro de borrado es un conjunto de datos por aparato. Los datos mínimos se basan en la lista de NIST SP 800-88 Rev. 2. En los aparatos conectados se añaden la vinculación a la cuenta y las excepciones.

Una anotación del tipo «restablecido a los valores de fábrica» cubre exactamente una de estas filas.

Si confía devoluciones o aparatos de servicio con memoria propia a un proveedor de servicios, merece la pena repasar juntos esta tabla antes del primer encargo. Con mucho gusto analizamos con usted el alcance del borrado y la documentación para sus grupos de aparatos. La forma más sencilla de contactarnos es nuestra página de contacto. Las tareas que PST asume en el proceso inverso se describen en la página Gestión de devoluciones.