Sikkerhetsfeil i Eiliko robotleke eksponerer sensitiv brukerdata på kinesiske servere

Bilde: The Verge · Kilde

Den digitale kjæledyrroboten Eiliko samler inn og lagrer omfattende personlig informasjon og samtaler på usikrede kinesiske servere, noe som utsetter data fra titusenvis av brukere, hovedsakelig barn i USA, for hackere. Produsenten har ikke svart på sikkerhetsbekymringer.

En ny digital kjæledyrrobot kalt Eiliko, designet for å endre sine tegneserieaktige ansiktsuttrykk for å matche brukerens humør, har blitt funnet å lagre sensitiv brukerdata på ubeskyttede servere i Kina. Undersøkelser avslører at alt brukere sier til Eiliko over Wi-Fi blir overført og tatt opp, med tusenvis av samtaler tilgjengelig for uautoriserte parter.

Cybersikkerhetsforsker Sammy Azdoufal oppdaget at selskapet bak Eiliko, Energize Lab, opprettholder en database som inneholder transkripsjoner av omtrent 13 millioner samtaler fra titusenvis av brukere verden over. Den største andelen av disse brukerne, over 31 000 profiler, ser ut til å være barn i USA. Dataene som samles inn inkluderer ikke bare chattelogger, men også personlig profilinformasjon som navn, alder, bursdager, yrker og detaljerte psykologiske oppsummeringer, angivelig for å profilere brukernes personligheter, emosjonelle tilstander og sosiale situasjoner.

I tillegg til personvernhensyn har enkelte Eiliko-modeller kameraer, og etterforskere fant ukrypterte bilder av barn lagret på offentlig tilgjengelige nettadresser. Korte lydopptak, inkludert bakgrunnslyder som gråtende babyer, ble også oppdaget og ser ut til å bli lagret i strid med selskapets personvernpolicy, som hevder at opptak er kryptert, behandlet og raskt slettet.

Energize Labs sikkerhetsrutiner har blitt kraftig kritisert; mange administratorpassord ble funnet å være svake og vanlige, og selskapet har vist minimal respons på henvendelser fra cybersikkerhetsjournalister og forskere. Til tross for å ha blitt informert om alvorlige sikkerhetssårbarheter, har Energize Lab ikke gitt forklaringer eller tatt offentlige korrigerende tiltak.

Ytterligere utnyttelser demonstrert av Azdoufal inkluderer fjernkapring av robotens store språklige modell (LLM), med mulighet til å endre dens svar og personlighet på upassende måter. For eksempel ble Eiliko manipulert til å formidle falsk eller skadelig informasjon, samt å gi kommandoer som ligner på krenkende instrukser. Slike evner utgjør alvorlige risikoer for barn som samhandler med disse lekene.

Denne hendelsen fremhever betydelige mangler i sikkerhets- og personvernmekanismer blant internett-tilkoblede barneprodukter. Brukere bør være forsiktige og revurdere å tillate slike enheter nær sårbare grupper inntil produsentene forbedrer beskyttelse og åpenhet.

Energize Lab har ikke kommet med noen offentlige uttalelser om datalekkasjen eller planer for utbedringer. Sikkerhetsspesialister fortsetter å arbeide med detaljerte sårbarhetsrapporter som dokumenterer disse funnene.