Aspiradores Shark: uma falha transforma os robôs em espiões sobre rodas - SharkNinja demora a corrigir

Um pesquisador afirma ter alertado a SharkNinja desde março sobre uma vulnerabilidade que permite assumir o controle remoto de aspiradores-robôs Shark, acessar suas câmeras e exfiltrar dados sensíveis. Os patches ainda não foram lançados.

Os fatos

Segundo o Journal du Geek, um pesquisador identificou uma vulnerabilidade afetando aspiradores-robôs da marca SharkNinja (marca de grande consumo bem estabelecida na América do Norte e na Europa). A exploração permitiria a um atacante:

• controlar remotamente o robô;
• ativar a câmera integrada;
• exfiltrar dados (mapeamento do interior da residência, potencialmente credenciais Wi-Fi ou tokens de sessão, dependendo dos modelos).

O pesquisador afirma ter alertado o fabricante desde março de 2026. Vários meses depois, as correções ainda são parciais ou inexistentes, dependendo dos modelos.

Quem é afetado?

O artigo não detalha a lista exaustiva dos modelos afetados. Na data em que escrevemos, é necessário considerar que toda a linha conectada da Shark está potencialmente vulnerável, aguardando um advisory oficial da SharkNinja que especifique os firmwares vulneráveis e as correções disponíveis.

Nenhum identificador CVE foi tornado público até esta data.

Contexto: IoT doméstico = ângulo morto persistente

Este incidente insere-se em um continuum bem documentado:

• Os aspiradores-robôs agora integram câmeras, LIDAR, microfones e um mapeamento detalhado do domicílio — ou seja, os dados de vigilância ideais de um usuário.
• O time-to-patch de um fabricante de hardwareconsumer continua muito superior ao de um editor de software: vários meses de atraso entre o relato responsável e a correção não são excepcionais.
• O relatório AIVD/MIVD documenta como a IoT mal corrigida é hoje explorada para fins de inteligência — não apenas por script kiddies.

O que fazer agora

Para usuários de robôs Shark conectados, aguardando uma correção oficial:

1. Isolar o robô em uma VLAN de convidados (SSID Wi-Fi separado, sem acesso ao restante da rede doméstica);
2. Bloquear o acesso à Internet do robô se o fabricante permitir um modo local — ou bloquear seus endereços de telemetria no nível do roteador;
3. Obstruir fisicamente a câmera (adesivo) quando o robô não estiver em missão;
4. Verificar regularmente a página de suporte da SharkNinja para um firmware com correção.

O que deve ser lembrado

Ainda não há exploração ativa documentada na natureza — mas um atraso de correção que beira os quatro meses, apesar de um alerta responsável. Se o caso ganhar repercussão, poderá reacender o debate, latente na Europa, sobre a obrigatoriedade de um SBOM e um prazo máximo de correção para objetos conectados de consumo, conforme prevê o Cyber Resilience Act para 2027.