Fallas de seguridad en el robot juguete Eiliko exponen datos sensibles de usuarios en servidores chinos

Image: The Verge · Source

El robot mascota digital Eiliko recopila y almacena extensa información personal y conversaciones en servidores chinos sin protección, exponiendo datos de decenas de miles de usuarios, en su mayoría niños en EE.UU., a hackers. El fabricante no ha respondido a las preocupaciones de seguridad.

Un nuevo robot mascota digital llamado Eiliko, diseñado para cambiar sus expresiones faciales caricaturescas para reflejar el estado de ánimo del usuario, ha sido encontrado almacenando datos sensibles de usuarios en servidores sin protección ubicados en China. Las investigaciones revelan que todo lo que los usuarios dicen a Eiliko a través de Wi-Fi se transmite y graba, con miles de conversaciones accesibles a partes no autorizadas.

El investigador en ciberseguridad Sammy Azdoufal descubrió que la empresa detrás de Eiliko, Energize Lab, mantiene una base de datos que contiene transcripciones de aproximadamente 13 millones de conversaciones de decenas de miles de usuarios en todo el mundo. La mayor parte de estos usuarios, más de 31,000 perfiles, parecen ser niños en los Estados Unidos. Los datos recopilados incluyen no solo registros de chats, sino también información personal del perfil como nombres, edades, fechas de nacimiento, profesiones y resúmenes psicológicos detallados, que supuestamente perfilan la personalidad, estados emocionales y situaciones sociales de los usuarios.

Sumando a las preocupaciones de privacidad, algunos modelos de Eiliko cuentan con cámaras, y los investigadores encontraron fotos de niños sin cifrar almacenadas en direcciones web de acceso público. También se descubrieron grabaciones de audio cortas, incluyendo sonidos de fondo como bebés llorando, que parecen mantenerse almacenadas a pesar de la política de privacidad de la empresa, que afirma que las grabaciones se cifran, procesan y eliminan rápidamente.

Las prácticas de seguridad de Energize Lab han sido fuertemente criticadas; muchas contraseñas administrativas resultaron ser débiles y comunes, y la empresa ha mostrado mínima respuesta a intentos de contacto por parte de reporteros e investigadores en ciberseguridad. A pesar de ser informada sobre las serias vulnerabilidades de seguridad, Energize Lab no ha proporcionado explicaciones ni ha tomado medidas correctivas visibles públicamente.

Exploits adicionales demostrados por Azdoufal incluyen el secuestro remoto del modelo de lenguaje grande (LLM) del robot, alterando sus respuestas y personalidad de forma inapropiada. Por ejemplo, Eiliko fue manipulado para transmitir información falsa o dañina, así como para emitir órdenes que parecían instrucciones abusivas. Estas capacidades plantean riesgos serios para los niños que interactúan con estos juguetes.

Este incidente destaca deficiencias significativas en las salvaguardas de seguridad y privacidad entre los productos conectados a internet dirigidos a niños. Los usuarios deberían actuar con cautela y reconsiderar permitir tales dispositivos cerca de poblaciones vulnerables hasta que los fabricantes mejoren la protección y la transparencia.

Energize Lab no ha emitido ninguna declaración pública respecto a la exposición de datos ni ha delineado planes para la remediación. Los especialistas en seguridad continúan trabajando en reportes detallados sobre las vulnerabilidades documentadas en estos hallazgos.