En f\u00e9vrier, un d\u00e9veloppeur fran\u00e7ais voulait juste brancher sa manette PS5 \u00e0 son aspirateur DJI et avait fini par espionner 7\u00a0000 foyers. Shark fait mieux\u00a0: une faille non corrig\u00e9e depuis quatre mois touche des centaines de milliers d\u2019appareils.<\/p>\n
Il y a quelque chose d\u2019un peu d\u00e9courageant \u00e0 voir les aspirateurs robots s\u2019imposer, mois apr\u00e8s mois, comme le maillon faible de la maison connect\u00e9e. La s\u00e9rie est maintenant bien document\u00e9e\u00a0: Ecovacs en 2024 (des chercheurs avaient pris le contr\u00f4le de micros et cam\u00e9ras \u00e0 distance), le DJI Romo en f\u00e9vrier (un d\u00e9veloppeur avait, en voulant bidouiller son appareil avec une manette PS5,\u00a0espionn\u00e9 7\u00a0000 logements dans 24 pays<\/a>), et maintenant la marque Shark. Un chercheur en s\u00e9curit\u00e9 a d\u00e9montr\u00e9 qu\u2019en s\u2019emparant du certificat d\u2019un seul aspirateur, il est possible de prendre la main sur n\u2019importe quel autre appareil Shark de la m\u00eame zone g\u00e9ographique. Cam\u00e9ra embarqu\u00e9e, plan du logement cartographi\u00e9 session apr\u00e8s session, mot de passe WiFi en clair\u00a0: tout devient accessible. Quatre mois apr\u00e8s l\u2019alerte, SharkNinja n\u2019a fourni ni correctif ni r\u00e9f\u00e9rence officielle pour la faille.<\/p>\n Lire aussi\u00a0: Les meilleurs robots aspirateurs laveurs en juillet 2026<\/a><\/p>\n Comment la cl\u00e9 de votre aspirateur ouvre aussi celui du voisin <\/p>\n Chaque aspirateur Shark connect\u00e9 re\u00e7oit, \u00e0 la fabrication, un certificat d\u2019authentification (une sorte de badge num\u00e9rique) qui est cens\u00e9 lui permettre de dialoguer uniquement avec les serveurs de la marque, et seulement pour ses propres donn\u00e9es. Le probl\u00e8me\u00a0: chez Shark, ce badge est configur\u00e9 avec des droits bien trop larges. Il autorise l\u2019appareil \u00e0 s\u2019abonner aux flux de donn\u00e9es de l\u2019ensemble des aspirateurs Shark h\u00e9berg\u00e9s dans la m\u00eame r\u00e9gion cloud, et \u00e0 leur envoyer des commandes. Pas de mot de passe \u00e0 deviner, pas de code malveillant \u00e0 injecter\u00a0: juste une erreur de configuration que personne n\u2019a corrig\u00e9e. Le service d\u2019audit de s\u00e9curit\u00e9 d\u2019AWS la classe d\u2019ailleurs comme\u00a0\u00ab\u00a0critique\u00a0\u00bb\u00a0dans sa propre documentation.<\/p>\n Le chercheur tokay0 a extrait ce certificat de son propre appareil (avec un tournevis et une console de d\u00e9bogage laiss\u00e9e grand ouverte par le fabricant, sans mot de passe), puis l\u2019a utilis\u00e9 pour envoyer des commandes \u00e0 d\u2019autres aspirateurs Shark. \u00c0 la cl\u00e9\u00a0: acc\u00e8s \u00e0 la cam\u00e9ra embarqu\u00e9e, r\u00e9cup\u00e9ration du plan du logement et lecture du\u00a0mot de passe WiFi en clair. Il a \u00e9galement prouv\u00e9 que d\u2019autres mod\u00e8les de la gamme restaient vuln\u00e9rables aux commandes \u00e0 distance, du moment que leur logiciel embarqu\u00e9 accepte d\u2019ex\u00e9cuter des instructions re\u00e7ues par ce canal (ce qui est le cas, m\u00eame quand leur propre certificat est correctement configur\u00e9).<\/p>\n En observant les \u00e9changes sur l\u2019infrastructure cloud pendant 24 heures dans une seule r\u00e9gion, le chercheur a recens\u00e9\u00a0673\u00a0816 appareils ayant r\u00e9pondu \u00e0 une commande de test (sur 1,5 million de num\u00e9ros de s\u00e9rie d\u00e9tect\u00e9s, soit 44\u00a0%). Ces chiffres d\u00e9signent des appareils observ\u00e9s, pas des appareils compromis. La port\u00e9e est born\u00e9e par r\u00e9gion\u00a0: un certificat extrait en Europe n\u2019atteint que les appareils de la zone AWS europ\u00e9enne. C\u2019est, \u00e0 peu de choses pr\u00e8s, la seule limite de cette faille.<\/p>\n Quatre mois sans r\u00e9ponse\u00a0: que faire avec votre Shark\u00a0? <\/p>\n Depuis que le chercheur a contact\u00e9 SharkNinja le 1er mars, l\u2019histoire suit un sc\u00e9nario bien rod\u00e9 dans la cybers\u00e9curit\u00e9. Accus\u00e9 de r\u00e9ception rapide, rapport\u00a0\u00ab\u00a0en cours d\u2019examen\u00a0\u00bb\u00a0fin avril, promesse d\u2019une date de r\u00e9solution pour le 10 juillet, puis silence complet. La faille a \u00e9t\u00e9 rendue publique le 13 juillet, sans correctif. Le fabricant a aussi remis en question la pertinence d\u2019un num\u00e9ro CVE pour ce probl\u00e8me\u00a0:\u00a0aucun identifiant officiel n\u2019existe \u00e0 ce jour. La faille est donc invisible pour les outils de gestion des vuln\u00e9rabilit\u00e9s en entreprise.<\/p>\n Pour les utilisateurs europ\u00e9ens, l\u2019affaire ne se r\u00e9sume pas \u00e0 un probl\u00e8me technique. Des flux vid\u00e9o de salon, des plans de logement et des identifiants r\u00e9seau accessibles \u00e0 un tiers non autoris\u00e9\u00a0: c\u2019est exactement le type de donn\u00e9es personnelles dont le RGPD exige la protection active. Les sanctions pr\u00e9vues atteignent jusqu\u2019\u00e0 4\u00a0% du chiffre d\u2019affaires mondial. Le Cyber Resilience Act europ\u00e9en, dont les principales obligations entrent en vigueur en 2027, imposera par ailleurs aux fabricants d\u2019objets connect\u00e9s de traiter les vuln\u00e9rabilit\u00e9s signal\u00e9es dans des d\u00e9lais contraints.<\/p>\n En attendant, la seule parade disponible est de d\u00e9connecter l\u2019aspirateur du WiFi (ce qui lui retire programmation, cartographie et pilotage \u00e0 distance, autant dire l\u2019essentiel de ce pour quoi on l\u2019a achet\u00e9). La bonne nouvelle\u00a0: la correction est enti\u00e8rement du c\u00f4t\u00e9 des serveurs de SharkNinja, sans mise \u00e0 jour \u00e0 installer c\u00f4t\u00e9 utilisateur. En\u00a0137 jours, elle n\u2019a pas eu lieu.<\/p>\n La politique de divulgation de SharkNinja promet des mises \u00e0 jour r\u00e9guli\u00e8res\u00a0\u00ab\u00a0jusqu\u2019\u00e0 ce que la vuln\u00e9rabilit\u00e9 signal\u00e9e soit r\u00e9solue\u00a0\u00bb. Cent trente-sept jours apr\u00e8s la premi\u00e8re alerte, les appareils restent expos\u00e9s et le fabricant n\u2019a publi\u00e9 aucune communication. Le chercheur note par ailleurs n\u2019avoir pas examin\u00e9 le reste de la gamme connect\u00e9e de la marque (notamment les grills et les sondes \u00e0 viande Ninja), et juge la situation\u00a0\u00ab\u00a0probablement\u00a0\u00bb\u00a0applicable \u00e0 ces produits. De quoi redonner envie de cuisiner \u00e0 l\u2019ancienne.<\/p>\n \ud83d\udc49\ud83c\udffb Suivez l\u2019actualit\u00e9 tech en temps r\u00e9el\u00a0: ajoutez 01net \u00e0 vos sources sur Google<\/a>, et abonnez-vous \u00e0 notre canal WhatsApp<\/a>.<\/p>\n