Aspiradores Shark: una vulnerabilidad convierte los robots en espías con ruedas - SharkNinja tarda en parchear

Un investigador afirma haber alertado a SharkNinja desde marzo sobre una vulnerabilidad que permite tomar el control de forma remota de los robots aspiradora Shark, acceder a su cámara y exfiltrar datos sensibles. Los parches aún no llegan.

Los hechos

Según el Journal du Geek, un investigador ha identificado una vulnerabilidad que afecta a aspiradoras robots de la marca SharkNinja (marca de consumo muy implantada en América del Norte y Europa). Su explotación permitiría a un atacante:

• controlar a distancia el robot;
• activar la cámara integrada;
• exfiltrar datos (cartografía del interior de la vivienda, potencialmente identificadores Wi-Fi o tokens de sesión, según los modelos).

El investigador afirma haber alertado al fabricante desde marzo de 2026. Varios meses después, los parches siguen siendo parciales o inexistentes según los modelos.

¿Quién está afectado?

El artículo no detalla la lista exhaustiva de referencias afectadas. A la fecha de redacción, hay que considerar que toda la gama conectada de Shark está potencialmente afectada, a la espera de un advisory oficial de SharkNinja que especifique los firmwares vulnerables y los parches disponibles.

No se ha hecho público ningún identificador CVE a esta fecha.

Contexto: IoT doméstico = ángulo muerto persistente

Este incidente se enmarca en un continuum bien documentado:

• Las aspiradoras robots incorporan ahora cámaras, LIDAR, micrófonos y una cartografía detallada del domicilio: datos de vigilancia ideales para un usuario.
• El time-to-patch de un fabricante de hardware de consumo sigue siendo muy superior al de un editor de software: varios meses de retraso entre el informe responsable y el parche no son excepcionales.
• El informe AIVD/MIVD documenta cómo el IoT mal parcheado es hoy explotado con fines de inteligencia —no solo por script kiddies.

Qué hacer ahora

Para los usuarios de robots Shark conectados, a la espera de un parche oficial:

1. Aislar el robot en una VLAN de invitados (SSID Wi-Fi separado, sin acceso al resto de la red doméstica);
2. Cortar el acceso a Internet del robot si el fabricante permite un modo local —o bloquear sus direcciones de telemetría a nivel del router;
3. Obturar físicamente la cámara (pegatina) cuando el robot no esté en misión;
4. Verificar periódicamente la página de soporte de SharkNinja para buscar un firmware con parche.

Lo que hay que recordar

Aún no se ha documentado una explotación activa en la naturaleza —pero un plazo de parche que roza los cuatro meses pese a un informe responsable. Si el caso se agrava, podría reavivar el debate, latente en Europa, sobre la obligación de un SBOM y un plazo máximo de parche para los objetos conectados de consumo, como prevé el Reglamento de Resiliencia Cibernética (Cyber Resilience Act) para 2027.