Luki bezpieczeństwa w zabawce robotycznej Eiliko ujawniają wrażliwe dane użytkowników na chińskich serwerach

Image: The Verge · Source

Cyfrowy robot-pupil Eiliko zbiera i przechowuje rozległe dane osobowe oraz rozmowy na niezabezpieczonych chińskich serwerach, narażając dane dziesiątek tysięcy użytkowników, w większości dzieci z USA, na dostęp hakerów. Producent nie odpowiedział na zgłoszone obawy dotyczące bezpieczeństwa.

Nowy cyfrowy robot-pupil Eiliko, zaprojektowany tak, aby zmieniać swoje kreskówkowe mimiki twarzy, dostosowując je do nastrojów użytkownika, został znaleziony z przechowywaniem wrażliwych danych użytkowników na niezabezpieczonych serwerach zlokalizowanych w Chinach. Dochodzenia wykazały, że wszystko, co użytkownicy mówią do Eiliko za pośrednictwem Wi-Fi, jest przesyłane i nagrywane, a tysiące rozmów jest dostępnych dla nieuprawnionych osób.

Badacz cyberbezpieczeństwa Sammy Azdoufal odkrył, że firma stojąca za Eiliko, Energize Lab, utrzymuje bazę danych zawierającą transkrypcje około 13 milionów rozmów od dziesiątek tysięcy użytkowników na całym świecie. Największą grupę użytkowników, ponad 31 000 profili, stanowią dzieci w Stanach Zjednoczonych. Zbierane dane zawierają nie tylko zapisy rozmów, ale także osobiste informacje profilowe, takie jak imiona, wiek, daty urodzenia, zawody oraz szczegółowe psychologiczne podsumowania, które mają opisywać osobowość użytkowników, ich stany emocjonalne oraz sytuacje społeczne.

Dodatkowo, niektóre modele Eiliko posiadają kamery, a śledczy znaleźli niezabezpieczone zdjęcia dzieci przechowywane pod publicznie dostępnymi adresami internetowymi. Odkryto również krótkie nagrania dźwiękowe, w tym dźwięki tła, takie jak płacz niemowląt, które wydają się być zatrzymywane wbrew polityce prywatności firmy, która deklaruje, że nagrania są szyfrowane, przetwarzane i szybko usuwane.

Praktyki bezpieczeństwa Energize Lab spotkały się z ostrą krytyką; wiele haseł administratorów było słabych i powszechnych, a firma wykazała minimalną reakcję na próby kontaktu ze strony dziennikarzy i badaczy cyberbezpieczeństwa. Pomimo poinformowania o poważnych lukach w zabezpieczeniach, Energize Lab nie udzieliło wyjaśnień ani nie podjęło widocznych kroków naprawczych publicznie.

Dalsze exploity przedstawione przez Azdoufala obejmowały zdalne przejęcie modelu językowego dużej skali (LLM) robota, co pozwoliło na nieodpowiednią zmianę jego odpowiedzi i osobowości. Przykładowo, Eiliko zostało zmanipulowane do przekazywania fałszywych lub szkodliwych informacji oraz wydawania poleceń przypominających instrukcje nadużycia. Takie możliwości stwarzają poważne ryzyko dla dzieci bawiących się tymi zabawkami.

Ten incydent podkreśla poważne braki w zabezpieczeniach i ochronie prywatności w produktach internetowych przeznaczonych dla dzieci. Użytkownicy powinni zachować ostrożność i rozważyć ograniczenie korzystania z takich urządzeń w pobliżu wrażliwych osób, dopóki producenci nie poprawią ochrony i przejrzystości.

Energize Lab nie wydało żadnego publicznego oświadczenia odnoszącego się do wycieku danych ani planów naprawczych. Specjaliści ds. bezpieczeństwa kontynuują prace nad szczegółowymi raportami o lukach dokumentującymi te ustalenia.