Sicherheitslücken im Eiliko-Roboterspielzeug setzen sensible Benutzerdaten auf chinesischen Servern frei

Image: The Verge · Source

Der digitale Haustierroboter Eiliko sammelt und speichert umfangreiche persönliche Informationen und Gespräche auf ungesicherten chinesischen Servern, wodurch Daten von zehntausenden Nutzern, überwiegend Kindern in den USA, für Hacker zugänglich werden. Der Hersteller reagiert nicht auf Sicherheitsbedenken.

Ein neuer digitaler Haustierroboter namens Eiliko, der seine cartoonartigen Gesichtsausdrücke an die Stimmung des Nutzers anpassen soll, wurde dabei entdeckt, sensible Benutzerdaten auf ungeschützten Servern in China zu speichern. Untersuchungen zeigen, dass alles, was Nutzer über WLAN zu Eiliko sagen, übertragen und aufgezeichnet wird, wobei tausende Gespräche für unbefugte Dritte zugänglich sind.

Der Cybersicherheitsexperte Sammy Azdoufal fand heraus, dass das Unternehmen hinter Eiliko, Energize Lab, eine Datenbank mit Transkripten von etwa 13 Millionen Gesprächen von zehntausenden Nutzern weltweit unterhält. Der größte Anteil dieser Nutzer, über 31.000 Profile, scheint Kinder in den Vereinigten Staaten zu umfassen. Die gesammelten Daten beinhalten nicht nur Chatprotokolle, sondern auch persönliche Profilinformationen wie Namen, Alter, Geburtsdaten, Berufe und detaillierte psychologische Zusammenfassungen, die angeblich Persönlichkeitsprofil, emotionale Zustände und soziale Situationen der Nutzer abbilden.

Zusätzlich zu den Datenschutzbedenken verfügen einige Eiliko-Modelle über Kameras, und Ermittler fanden unverschlüsselte Fotos von Kindern, die auf öffentlich zugänglichen Webadressen gespeichert waren. Kurze Audioaufnahmen, einschließlich Hintergrundgeräusche wie weinende Babys, wurden ebenfalls gefunden und scheinen entgegen der Datenschutzerklärung des Unternehmens, die besagt, dass Aufnahmen verschlüsselt, verarbeitet und prompt gelöscht werden, aufbewahrt zu werden.

Die Sicherheitspraktiken von Energize Lab waren starker Kritik ausgesetzt; viele Administratorpasswörter waren schwach und gebräuchlich, und das Unternehmen hat nur minimal auf Kontaktversuche von Cybersicherheitsberichterstattern und Forschern reagiert. Obwohl es über die gravierenden Sicherheitslücken informiert wurde, hat Energize Lab keine Erklärungen geliefert oder öffentlich sichtbare Korrekturmaßnahmen ergriffen.

Weitere von Azdoufal demonstrierte Exploits umfassten die Fernübernahme des großen Sprachmodells (LLM) des Roboters, wodurch dessen Antworten und Persönlichkeit unangemessen verändert wurden. So wurde Eiliko manipuliert, um falsche oder schädliche Informationen zu verbreiten sowie Befehle auszugeben, die missbräuchlichen Anweisungen ähneln. Solche Fähigkeiten bergen erhebliche Risiken für Kinder, die mit diesen Spielzeugen interagieren.

Dieser Vorfall verdeutlicht erhebliche Mängel bei Sicherheits- und Datenschutzmaßnahmen in internetverbundenen Kinderprodukten. Nutzer sollten vorsichtig sein und überdenken, solche Geräte in der Nähe gefährdeter Gruppen zuzulassen, bis Hersteller Schutz und Transparenz verbessern.

Energize Lab hat keine öffentliche Stellungnahme zur Datenpanne abgegeben oder Pläne zur Behebung bekanntgegeben. Sicherheitsexperten arbeiten weiterhin an detaillierten Berichten zur Dokumentation dieser Schwachstellen.