Ce que votre robot aspirateur sait sur votre vie intime (et qu’il partage…)
Les appareils connectés de la maison s’infiltrent partout, mais certains deviennent des portes ouvertes involontaires sur nos intimités. Une nouvelle vulnérabilité découverte dans les robots aspirateurs Shark permet à quiconque extrait un certificat unique d’accéder à distance aux données de milliers d’autres appareils dans la même zone cloud. Caméras embarquées, cartes détaillées des logements et identifiants WiFi en clair tombent alors entre de mauvaises mains, et ce sans aucune mise à jour côté utilisateur pour y remédier.
Comment un simple certificat transforme l’aspirateur en espion
Chaque modèle Shark reçoit en usine un certificat d’authentification destiné à sécuriser ses échanges avec les serveurs. Le problème réside dans une configuration trop permissive qui autorise ce même badge à interroger et commander l’ensemble des appareils d’une région AWS. Un chercheur indépendant a pu extraire ce certificat sur son propre modèle en exploitant des ports de débogage non protégés, puis l’a réutilisé pour piloter d’autres unités. Cette approche simple révèle les flux vidéo en direct, reconstruit les plans de pièces accumulés au fil des sessions et récupère les mots de passe réseau en clair.
Des centaines de milliers d’appareils concernés dans le monde
En observant le trafic cloud pendant une journée dans une seule région, plus de 673 000 appareils ont répondu à des commandes de test sur 1,5 million de numéros de série identifiés. Ces chiffres indiquent la portée potentielle plutôt que des compromissions effectives. La faille reste limitée par zone géographique, mais elle touche de nombreux modèles de la gamme. Le cas rappelle un incident survenu en février dernier avec des robots DJI, où un bidouilleur avait involontairement consulté les cartes et caméras de près de 7 000 foyers dans une vingtaine de pays avant toute réaction du fabricant.
Quatre mois d’attente et aucune correction en vue
Le signalement date du 1er mars dernier. SharkNinja a accusé réception rapidement, puis a promis une résolution pour le 10 juillet avant de rompre toute communication. La divulgation publique est intervenue le 13 juillet sans correctif serveur ni identifiant CVE officiel, rendant la vulnérabilité invisible pour de nombreux outils de détection. Les obligations du RGPD et du futur Cyber Resilience Act exigent pourtant une réponse rapide sur les données personnelles exposées. La seule mesure immédiate reste de déconnecter l’appareil du WiFi, sacrifiant cartes, programmation et pilotage à distance. La correction doit venir exclusivement des serveurs de la marque.
Tout cela laisse les propriétaires face à un choix délicat entre abandonner les fonctionnalités connectées ou accepter un risque qui persiste, des mois après l’alerte initiale.
