DJI heeft de resultaten gepubliceerd van een cybersecurity-onderzoek naar twee van zijn drones: de DJI Air 3S en de DJI Matrice 4E. Volgens het Amerikaanse beveiligingsbedrijf OnDefend, dat het onderzoek uitvoerde, zijn er geen aanwijzingen gevonden voor datalekken naar China, verborgen achterdeurtjes of andere ernstige veiligheidsproblemen. DJI ziet de uitkomsten als een bevestiging dat de zorgen die met name in de VS leven over de veiligheid van zijn producten ongegrond zijn. De conclusies van het onderzoek worden echter niet door iedereen gedeeld.
Inhoudsopgave
DJI Air 3S en Matrice 4E onderzocht
Het onderzoek werd tussen oktober 2025 en maart 2026 uitgevoerd door OnDefend, een Amerikaans cybersecuritybedrijf dat zich richt op offensieve beveiligingstesten. Daarbij werden een DJI Air 3S met RC 2-controller en een Matrice 4E met RC Plus 2 Enterprise-controller onderworpen aan hardware-, software- en radiofrequentie-analyses.
Volgens het rapport werden geen kritieke, hoge of middelzware beveiligingsproblemen vastgesteld. Ook vonden de onderzoekers geen bewijs dat gegevens vanuit de onderzochte systemen naar infrastructuur buiten de Verenigde Staten werden verzonden. Verder werden geen verborgen toegangsmethoden, ongeautoriseerde hardware-aanpassingen of verdachte radiosignalen aangetroffen.
Wel werden tien bevindingen met een laag risico en dertien aandachtspunten genoteerd. Deze hadden onder meer betrekking op app-configuraties, sessiebeheer en draadloze beveiliging. Volgens OnDefend vormden deze geen reëel risico voor de veilige werking van de drones of voor grootschalige blootstelling van vertrouwelijke gegevens.
Belangrijke timing
De publicatie van het rapport komt op een gevoelig moment voor DJI. Eind 2025 plaatste de Amerikaanse Federal Communications Commission (FCC) het bedrijf op de zogenoemde Covered List. Daarmee werd DJI in dezelfde categorie geplaatst als diverse Chinese telecombedrijven die door de Amerikaanse overheid als een mogelijk nationaal veiligheidsrisico worden beschouwd.
De maatregel vloeide voort uit de Amerikaanse Countering CCP Drones Act. Die wet bood DJI de mogelijkheid om via een onafhankelijk veiligheidsonderzoek aan te tonen dat zijn producten geen onaanvaardbare risico’s vormen. In dat geval zou de FCC de beperkingen kunnen heroverwegen.
Dat onderzoek kwam echter niet tijdig van de grond. Daardoor mogen nieuwe DJI-drones en accessoires sinds eind vorig jaar niet langer worden gecertificeerd voor de Amerikaanse markt. In de praktijk betekent dit dat nieuwe DJI-producten niet meer legaal in de Verenigde Staten verkocht kunnen worden.
DJI hoopt dat de resultaten van het OnDefend-onderzoek alsnog gewicht in de schaal leggen bij lopende beroepsprocedures tegen de FCC-beslissing.
DJI: feiten moeten leidend zijn
Volgens DJI bevestigt het rapport wat het bedrijf al jaren stelt: dat er geen technische basis bestaat voor de beschuldigingen dat DJI-drones gegevens doorspelen aan de Chinese overheid.
Adam Welsh, Head of Global Policy bij DJI, noemt het onderzoek “de meest uitgebreide onafhankelijke veiligheidsbeoordeling ooit uitgevoerd op DJI-producten”. Volgens hem laten de bevindingen zien dat de zorgen die ten grondslag liggen aan de plaatsing op de Covered List niet worden ondersteund door technische feiten.
Daarbij wijst DJI erop dat de onderzochte drones niet rechtstreeks door het bedrijf werden aangeleverd. De consumentendrones werden door OnDefend zelf aangeschaft via reguliere verkoopkanalen, terwijl de enterprise-apparatuur afkomstig was uit bestaande dealerinventaris.
Kritische analyse
Niet iedereen is overtuigd door de conclusies. Kort na publicatie verscheen een uitgebreide analyse van securityonderzoeker Kevin Finisterre, waarin juist wordt gewezen op de beperkingen van dergelijke audits. Volgens zijn analyse toont het OnDefend-rapport vooral aan dat de onderzochte systemen gedurende een beperkte testperiode geen opvallende problemen vertoonden, maar zegt dat weinig over toekomstige software-updates of andere productconfiguraties.
Finisterre wijst erop dat OnDefend zelf in een eigen document benadrukt dat beveiligingstesten slechts een “momentopname” zijn. Nieuwe firmwareversies, gewijzigde infrastructuur of nieuw ontdekte kwetsbaarheden kunnen de situatie op elk moment veranderen. Volgens de analyse is het daarom onjuist om een punt-in-tijd audit te vertalen naar een algemene conclusie dat een productlijn veilig is.
Ook plaatst Finisterre vraagtekens bij de wijze waarop eerdere DJI-audits in communicatie-uitingen zijn gepresenteerd. Daarbij wordt gewezen op onderzoeken van onder meer Booz Allen, FTI Consulting, het Amerikaanse Department of the Interior en Idaho National Laboratory. Volgens de analyse waren deze onderzoeken vaak beperkt in scope, gericht op specifieke firmwareversies of uitgevoerd onder sterk gecontroleerde omstandigheden. De daaropvolgende marketingcommunicatie zou die beperkingen niet altijd even duidelijk hebben gemaakt.
Opvallend is dat de kritische analyse niet concludeert dat DJI daadwerkelijk gegevens naar China verstuurt of verborgen achterdeurtjes bevat. Integendeel: in de analyse wordt expliciet erkend dat de beschikbare onderzoeken daar geen bewijs voor leveren. Het belangrijkste punt is dat het ontbreken van gevonden problemen niet automatisch betekent dat dergelijke risico’s onmogelijk zijn.
Dat nuanceverschil staat centraal in de discussie die al jaren rond DJI woedt. Voorstanders wijzen erop dat herhaalde onderzoeken geen concrete aanwijzingen voor spionage of ongeautoriseerde datatransmissie hebben opgeleverd. Critici stellen daar tegenover dat veel onderzoeken beperkt van omvang zijn en slechts een deel van het totale ecosysteem beoordelen.
Politieke discussie nog niet voorbij
De publicatie van het OnDefend-rapport zal de discussie over DJI in Washington waarschijnlijk niet direct beslechten. De Amerikaanse bezwaren tegen DJI zijn immers niet uitsluitend technisch van aard, maar worden ook ingegeven door bredere geopolitieke zorgen over Chinese technologiebedrijven.
Toch biedt het rapport DJI voor het eerst sinds de plaatsing op de Covered List een omvangrijk, recent en door een Amerikaanse partij uitgevoerd technisch tegenargument. Of dat voldoende is om beleidsmakers te overtuigen, zal de komende maanden moeten blijken.
Voor dronegebruikers buiten de Verenigde Staten verandert er voorlopig weinig. Wel laat de controverse zien hoe cybersecurity, nationale veiligheid en geopolitiek steeds nadrukkelijker verweven raken met de wereld van professionele en recreatieve drones.
