Un robot aspirador parece un aparato doméstico tranquilo: limpia, vuelve a la base y deja una tarea menos. La historia reciente de Shark recuerda que ese objeto también puede formar parte de una arquitectura mucho más grande: certificados, temas MQTT, AWS IoT, una aplicación móvil, mapas de la casa, a veces una cámara y reglas de acceso que el usuario nunca ve.

Robot aspirador sin marca junto a un plano de vivienda, un router y un escudo de seguridad en la nube

El 13 de julio, el investigador tokay0 publicó un análisis de varios robots aspiradores Shark. Según su informe, un certificado y una clave privada extraídos de un Shark RV2320EDUS podían usarse para enviar comandos a otros dispositivos Shark del mismo AWS Region porque la política de acceso en la nube no estaba limitada al dispositivo propietario del certificado. El texto habla de comandos AWS IoT shadow, ejecución remota, cámara en directo, control de motores, mapas de la vivienda y una clave Wi-Fi guardada en plaintext.

La lectura práctica no es que todos los propietarios deban entrar en pánico. El propio informe fue actualizado con una nota: SharkNinja afirma que la vulnerabilidad quedó corregida el 20 de julio. Lo relevante para cualquier casa conectada es que el arreglo parece depender de la nube del fabricante. El usuario no puede comprobar desde la app si se rotaron certificados, si se corrigieron todas las regiones o qué modelos quedaron cubiertos.

Qué se afirma técnicamente

Un diseño IoT sano limita cada certificado a los temas y estados de su propio dispositivo. La documentación de AWS IoT Device Defender advierte que las políticas demasiado permisivas pueden permitir a un certificado comprometido leer o modificar shadows, jobs o mensajes de muchos dispositivos. Tokay0 sostiene que el certificado de su unidad de prueba podía publicar y suscribirse fuera de su propio espacio de nombres.

El investigador compró también un AV1102ARUS y dice que el certificado del primer robot podía operar sobre el segundo en la misma región. Por eso el caso no se reduce a una contraseña débil ni a una mala práctica del dueño. Es un problema de autorización de flota: una credencial de un aparato recibió más confianza de la necesaria.

Las capacidades citadas son especialmente sensibles en una vivienda: cámara, mapas, contraseña Wi-Fi y movimiento remoto. Medios como The Hacker News, Malwarebytes, Tom’s Hardware y Digital Trends recogieron esos riesgos. Las cifras deben tratarse con precisión: tokay0 dice haber observado, durante 24 horas en una región, 1.517.605 números de serie únicos y 673.816 dispositivos con Exec_Response. Eso no equivale a hogares hackeados; indica superficie visible y respuestas de dispositivos.

Lo que el comprador no puede auditar

Muchos consejos de hogar inteligente siguen centrados en lo local: actualizar firmware, cambiar contraseñas, usar una red de invitados. Son medidas útiles, pero no bastan cuando el fallo está en la política cloud del proveedor. El usuario no puede abrir la app y revisar permisos de AWS IoT. Tampoco puede saber si el fabricante revocó certificados o corrigió sólo una parte de la infraestructura.

Por eso importa la comunicación pública. SharkNinja declaró que había abordado completamente la vulnerabilidad, pero no publicó una guía técnica amplia para consumidores: modelos afectados, alcance regional, tipo de remediación, necesidad de actualización o indicios de acceso a datos. En un aparato con mapa y cámara, esa transparencia forma parte del soporte del producto.

Qué hacer y qué comprar

Si tienes un robot Shark, revisa la app, firmware, avisos de soporte y opciones de privacidad. Si el modelo usa cámara, confirma si la necesitas. Si la preocupación es alta, puedes desconectarlo temporalmente de Wi-Fi, sabiendo que perderás control remoto, horarios y algunas funciones de mapas. Cambiar la contraseña Wi-Fi sólo tiene sentido como medida deliberada si crees que tu unidad pudo estar afectada antes del parche.

A largo plazo, separa los dispositivos IoT en una red de invitados, SSID dedicado o VLAN sin acceso libre a portátiles, NAS o equipos de trabajo. Eso no corrige un fallo de nube, pero reduce el daño local si un aparato doméstico se compromete.

Antes de comprar el próximo robot aspirador, pregunta si necesitas cámara, si funciona sin nube, si permite borrar mapas, si el fabricante tiene política de divulgación de vulnerabilidades y si publica avisos claros. A veces el producto más inteligente no es el más conectado, sino el que limpia bien con menos datos y menos dependencia externa.