Robotstøvsugeren i stua lager et fullstendig kart over hjemmet ditt og sender det til produsenten i Kina: Slik sletter du dataene i appen

Omtrent ett av tre norske hjem har de siste årene fått en robotstøvsuger på gulvet, og markedet domineres av kinesiske merker som Roborock og Xiaomi, ifølge en bransjeoversikt fra Robotutstyr.no basert på tall fra NRK. De to produsentene sto alene for 51 prosent av det norske markedet i 2024, mens amerikanske iRobot hadde 18 prosent.

Få av eierne vet at støvsugerne gjør langt mer enn å samle støv. De bygger et nøyaktig kart over leiligheten eller huset, lagrer det i skyen, og registrerer når du er hjemme og når du er borte.

Kameraer, lasere og lagring i skyen

Moderne robotstøvsugere kombinerer lasersensorer, kameraer og mikrofoner for å orientere seg. Resultatet er et detaljert plankart med rominndeling, møbelplassering og dørterskler, skriver sikkerhetsselskapet ESET i en gjennomgang av robotstøvsugere og personvern. Kartet avslører både boligens størrelse og design, som igjen kan antyde inntektsnivå og andre opplysninger om husholdningen.

I tillegg lærer støvsugeren rutinene dine. Rengjøringsplanen du setter opp, forteller når du er på jobb, når du sover, og når hjemmet er tomt.

Les også: Norske iPhone-brukere venter fortsatt: Den nye Siri AI kommer ikke til Europa

Bitdefender advarer i en gjennomgang av smarte støvsugere om at kartdata, bilder og video som sees via appen, i praksis betyr at opplysningene lastes opp til en ekstern server. Databrudd hos produsenten kan avsløre både identiteten og adressen din.

Roborock lagrer i Kina, Tyskland og USA

Kinesiske Roborock oppgir selv i sine personvernvilkår for den amerikanske appen at selskapet bruker datasentre i Kina, Tyskland og USA til å lagre og sikkerhetskopiere brukerdata. Europeiske brukere får dataene sine lagret på de tyske serverne, men selskapet som behandler dem, er kinesisk.

I samme policy står det at Roborock kan dele personopplysninger med tredjeparter dersom det kreves av lov, i rettstvister, eller etter pålegg fra forvaltnings- eller rettsmyndigheter. Hva det kan bety i praksis under kinesisk lovgivning, kommer ikke frem i vilkårene.

Hackede støvsugere brukte kameraet mot eieren

Risikoen er ikke bare teoretisk. I mai 2024 ble flere amerikanske eiere av modellen Ecovacs Deebot X2 utsatt for angrep gjennom selve støvsugeren, bekrefter nyhetstjenesten Interesting Engineering. I Minnesota ble advokaten Daniel Swenson sittende i stua da støvsugeren begynte å brøle rasistiske skjellsord gjennom høyttaleren. Via appen oppdaget han at en ukjent person så kameraflyten direkte og styrte roboten.

Les også: Eier du en VW ID.3 eller ID.4: Et flatt 12V-batteri kan sette hele bilen ut av drift

I Los Angeles brukte angriperne 24. mai samme år en kapret Deebot X2 til å jage familiens hund, mens høyttaleren slang grove kommentarer. I El Paso i Texas skrek en Ecovacs-robot rasistiske slagord mot eieren midt på natten til apparatet ble trukket ut av stikkontakten.

Sikkerhetsforskerne Dennis Giese og Braelynn Luedtke dokumenterte sårbarhetene på hackerkonferansen DEF CON i Las Vegas i august 2024. Overfor TechCrunch forklarte Giese at angriperen kunne ta kontroll via Bluetooth fra flere hundre meter unna og nå både kamera og mikrofon.

«Vi kan nå kameraer, mikrofoner, hva som helst», sa Giese til nettstedet. Han og kollegaen hadde varslet Ecovacs allerede i desember 2023 uten å få svar fra selskapet. Analysen omfattet elleve produktlinjer, blant annet Deebot-seriene N8, N10, T20, X1, X2 og Goat-robotklipperen.

Slik begrenser du hva produsenten får

Du kan ikke stoppe en robotstøvsuger fra å lage kart, det er slik den finner frem. Men du kan begrense hvor mye som havner i skyen, og du kan slette det eksisterende kartet.

Les også: Peugeot fjerner det runde rattet i ny e-208: Steer-by-wire og HyperSquare fra 2027

I Roborock-appen gjøres det slik, ifølge en bruksanvisning fra Android Headlines:

1. Åpne Roborock-appen og velg støvsugeren din
2. Trykk på de tre prikkene øverst til høyre
3. Velg «Manage Maps»
4. Trykk «EDIT» for kartet du vil slette
5. Velg «Delete» og bekreft med «OK»

Appen advarer da om at «any scheduling related to the map will be invalid», altså at tidsplaner knyttet til kartet forsvinner. For Xiaomi-eiere ligger tilsvarende funksjon under kartinnstillingene i Mi Home- eller Xiaomi Home-appen.

ESET anbefaler i tillegg å sette opp forbudssoner for soverom og bad, slå av unødvendige skyfunksjoner, og velge produsenter som tilbyr tofaktor-pålogging og jevnlige firmware-oppdateringer. Bitdefender legger til at det er lurt å gå gjennom app-tillatelsene jevnlig og trekke tilbake tilganger man ikke bruker.

Les også: Dansk minister kaller det «ekstremt alvorlig»: Hackere fikk tilgang til 8,8 millioner CPR-numre

Les også: Apple Watch og Garmin vet mer om helsa di enn fastlegen: Slik kontrollerer du hvem som ser dataene dine