Twój robot sprzątający może Cię podglądać! Wykryto groźną lukę w urządzeniach popularnej marki

Inteligentny odkurzacz w założeniu ma dbać o czystość w domu i oszczędzać Twój czas. Niestety okazuje się, że popularne urządzenia autonomiczne mogą po cichu mapować wnętrza mieszkań dla obcych osób. Badacze bezpieczeństwa wykryli krytyczną lukę w chmurze marki SharkNinja. Usterka pozwala na przejęcie kontroli nad sprzętem, dostęp do obrazu z kamery, a nawet wykradzenie hasła do sieci Wi-Fi.

Czym jest luka w odkurzaczach SharkNinja?

Problem nie wynika z błędu w oprogramowaniu układowym samego urządzenia. Źródło zagrożenia leży w złej konfiguracji polityki bezpieczeństwa w chmurze AWS.

Badacz o pseudonimie tokay0 przeprowadził inżynierię wsteczną modelu Shark RV2320EDUS. Odkrył, że certyfikat bezpieczeństwa z jednego odkurzacza ma zbyt szerokie uprawnienia. Zamiast komunikować się wyłącznie z jednym przypisanym egzemplarzem, pozwala na łączność z innymi urządzeniami w tym samym regionie chmury. W efekcie jeden wyciągnięty certyfikat otwiera drzwi do tysięcy innych domów.

Gigantyczna skala problemu w chmurze

Ekspert zaobserwował w ciągu zaledwie 24 godzin ponad 1,5 miliona unikalnych urządzeń marki w jednym regionie AWS. Aż 673 tysiące z nich odpowiadało w sposób sugerujący podatność na zdalne wykonywanie poleceń. Skala potencjalnego zagrożenia jest ogromna.

Jeśli cyberprzestępca wykorzysta ten błąd, może uzyskać dostęp do niezwykle wrażliwych danych. Mowa tutaj o:

• Podglądzie na żywo z wbudowanych kamer
• Dokładnych mapach rozkładu pomieszczeń w Twoim domu
• Hasłach do domowej sieci Wi-Fi, które zapisywano otwartym tekstem
• Zdalnym wydawaniu poleceń i próbie wejścia do sieci lokalnej

Jak trudny jest atak i dlaczego użytkownik nic nie zrobi?

Należy wyraźnie zaznaczyć jedną rzecz. Przeprowadzenie ataku nie jest całkowicie proste i wymaga wstępnych kroków. Cyberprzestępca musi najpierw uzyskać fizyczny dostęp do jakiegokolwiek kompatybilnego odkurzacza tej marki. Dopiero po podłączeniu się do interfejsu diagnostycznego, może wydobyć potrzebny certyfikat.

Niestety, po pozyskaniu tego pliku reszta ataku odbywa się już całkowicie zdalnie poprzez infrastrukturę producenta. Użytkownicy są w tej sytuacji bezradni. Nie mogą samodzielnie rozwiązać problemu poprzez prostą aktualizację oprogramowania w telefonie. Poprawka musi zostać wdrożona bezpośrednio na serwerach firmy SharkNinja.

Brak reakcji ze strony producenta i co możesz zrobić teraz

Luka została oficjalnie zgłoszona firmie SharkNinja w marcu 2026 roku. Mimo upływu wielu miesięcy producent nie wydał odpowiedniej poprawki bezpieczeństwa. Problem nie otrzymał nawet oficjalnego identyfikatora CVE, a marka milczy w kwestii publicznego ogłoszenia łatek.

Dopóki firma nie zabezpieczy swoich serwerów, jedynym sensownym rozwiązaniem jest ograniczenie ryzyka na własną rękę. Jeśli nie potrzebujesz funkcji zdalnych, warto odłączyć odkurzacz od domowej sieci Wi-Fi. To tymczasowe rozwiązanie, ale skutecznie odcina sprzęt od chmury. Ostateczna odpowiedzialność leży jednak w rękach producenta.

Luka wykryta w sprzęcie SharkNinja pokazuje ciemną stronę smart home. Błędy w konfiguracji chmury mogą zmienić niepozorny sprzęt domowy w narzędzie do inwazyjnego podglądu naszej prywatności. Dopóki producenci nie zaczną traktować cyberbezpieczeństwa priorytetowo, każdy inteligentny gadżet w naszym domu pozostaje potencjalnym punktem zapalnym.