Turva-aukotuksia Eiliko-robottilelussa paljastaa arkaluontoisia käyttäjätietoja kiinalaisilla palvelimilla

Kuva: The Verge · Lähde

Eiliko-digilemmikki kerää ja tallentaa laajan henkilökohtaisen tiedon sekä keskustelut suojaamattomille kiinalaisille palvelimille, paljastaen kymmenien tuhansien käyttäjien, pääosin Yhdysvaltain lasten, tiedot hakkereille. Valmistaja ei ole vastannut tietoturvahuoliin.

Uusi digitaalinen lemmikkirobotti nimeltä Eiliko, joka on suunniteltu muuttamaan sarjakuvamaisia kasvonilmeitään käyttäjän mielialan mukaan, on todettu tallentavan arkaluontoisia käyttäjätietoja suojaamattomille Kiinassa sijaitseville palvelimille. Tutkimukset paljastavat, että kaikki, mitä käyttäjät sanovat Eilikolle Wi-Fi-yhteyden välityksellä, lähetetään ja tallennetaan, ja tuhansien keskustelujen sisältö on luvattomasti saatavilla.

Kyberturvallisuustutkija Sammy Azdoufal paljasti, että Eilikon takana oleva yritys Energize Lab ylläpitää tietokantaa, joka sisältää noin 13 miljoonan keskustelun transkriptioita kymmeniltä tuhansilta käyttäjiltä ympäri maailmaa. Suurin osa käyttäjistä, yli 31 000 profiilia, vaikuttaa olevan lapsia Yhdysvalloista. Kerätyt tiedot sisältävät paitsi chat-lokit, myös henkilökohtaiset profiilitiedot kuten nimet, iät, syntymäpäivät, ammatit sekä yksityiskohtaiset psykologiset yhteenvedot, joiden kerrotaan kuvaavan käyttäjien persoonallisuuksia, tunne-tiloja ja sosiaalisia tilanteita.

Lisää yksityisyysongelmia aiheuttaa se, että joissakin Eiliko-malleissa on kameroita, ja tutkijat löysivät salaamattomia lasten valokuvia julkisesti saatavilla olevilta verkkosivuilta. Lyhyitä äänitallenteita, mukaan lukien taustamelua kuten itkeviä vauvoja, löydettiin myös, ja ne näyttävät säilytettävän vastoin yrityksen tietosuojakäytäntöä, joka väittää, että tallenteet salataan, käsitellään ja poistetaan nopeasti.

Energize Labin tietoturvakäytännöt ovat saaneet kovaa kritiikkiä; monet ylläpitäjien salasanat olivat heikkoja ja yleisiä, ja yritys on osoittanut vähäistä reagointia kyberturvallisuusraportoijien ja tutkijoiden yhteydenottoihin. Huolimatta vakavista tietoturva-aukkojen tiedottamisesta, Energize Lab ei ole tarjonnut selityksiä eikä ryhtynyt julkisesti näkyviin korjaaviin toimiin.

Azdoufal osoitti myös muita hyväksikäyttöjä, kuten kyvyn kaapata etäyhteydellä robotin suuri kielimalli (LLM), muuttaa sen vastauksia ja persoonallisuutta sopimattomasti. Esimerkiksi Eilikon manipulointi levittämään väärää tai haitallista tietoa sekä antamaan määräyksiä, jotka muistuttavat hyväksikäyttöä, lisäävät vakavia riskejä lasten vuorovaikutuksessa näiden lelujen kanssa.

Tämä tapaus korostaa merkittäviä puutteita internetyhteydessä olevien lasten tuotteiden tietoturvassa ja yksityisyydensuojassa. Käyttäjien tulisi toimia varoen ja harkita tällaisten laitteiden sallimista haavoittuvien ryhmien lähellä, kunnes valmistajat parantavat suojaa ja läpinäkyvyyttä.

Energize Lab ei ole antanut julkista lausuntoa tietovuodosta tai korjaussuunnitelmista. Tietoturva-asiantuntijat jatkavat yksityiskohtaisten haavoittuvuusselvitysten laatimista, joissa dokumentoidaan nämä havainnot.