흡입기 Shark: 로봇 청소기가 감시용 롤러로 변신하는 취약점 - SharkNinja, 패치 지연

한 연구자가 3월부터 샤크닌자社에 로봇청소기 샤크의 원격 제어 취약점, 카메라 접근, 민감한 데이터 유출 가능성을 경고했지만, 패치가 아직 이루어지지 않고 있다.

사실

Journal du Geek에 따르면 한 연구원이 SharkNinja 브랜드(북미 및 유럽에 잘 알려진 소비자용 브랜드)의 로봇 청소기에 영향을 미치는 취약점을 발견했다고 한다. 이 취약점을 악용하면 공격자가 다음을 수행할 수 있다:

• 로봇을 원격 조종
• 내장 카메라를 활성화
• 데이터 유출 (주택 내부 지도, 모델에 따라 Wi-Fi 자격 증명 또는 세션 토큰 등)

연구원은 2026년 3월 제조업체에 알렸다고 주장한다. 몇 달이 지나도록 일부 모델의 경우 패치가 부분적 또는 전혀 이루어지지 않았다.

영향을 받는 대상은?

기사에는 영향을 받는 모델의 전체 목록이 자세히 나와 있지 않다. 이 글을 쓰는 시점 기준으로 SharkNinja의 연결된 모든 제품군이 잠재적으로 영향을 받을 수 있으므로, SharkNinja에서 취약한 펌웨어와 사용 가능한 패치에 대한 공식 advisory가 나올 때까지 주의해야 한다.

이 시점까지 공개된 CVE 식별자는 없다.

배경: 가정용 IoT = 지속적인 사각지대

이 incident는 다음과 같은 잘 알려진 연속성에 포함된다:

• 로봇 청소기는 이제 카메라, LIDAR, 마이크 및 세부 주택 지도를 탑재하고 있으며, 이는 이상적인 사용자의 감시 데이터다.
• 소비자용 하드웨어 제조업체의 패치까지 걸리는 시간은 소프트웨어 에디터보다 훨씬 길다. 책임 있는 보고와 패치 간의 몇 달간의 지연은 예외적이지 않다.
• AIVD/MIVD 보고서는 악 patch된 IoT가 오늘날 스크립트 키디가 아닌 정보 수집 목적으로 어떻게 악용되는지를 문서화한다.

지금 해야 할 일

패치가 공식적으로 나올 때까지 SharkNinja 연결형 로봇 청소기 사용자는 다음을 수행해야 한다:

1. 로봇을 게스트 VLAN(Wi-Fi SSID 분리, 가정용 네트워크 나머지 부분에 접근 불가)으로 격리;
2. 제조업체에서 로컬 모드를 지원하는 경우 로봇의 인터넷 접근 차단 또는 라우터 수준에서 원격 측정 주소 차단;
3. 로봇이 작동 중이 아닐 때 카메라를 물리적으로 차단(스티커 사용);
4. 패치가 포함된 펌웨어를 확인하기 위해 정기적으로 SharkNinja 지원 페이지 확인.

핵심 요약

아직 실제 악용 사례는 문서화되지 않았지만, 책임 있는 알림에도 불구하고 패치 기간이 4개월에 육박하고 있다. 이 사건이 확산된다면 유럽에서 잠재되어 있는 SBOM 및 소비자용 연결 기기의 최대 패치 기간 의무에 대한 논쟁을 재점화할 수 있으며, 이는 2027년을 목표로 하는 사이버 Resilience Act에서 предусмотрено하고 있다.