Уязвимости безопасности в игрушечном роботе Eiliko раскрывают конфиденциальные данные пользователей на китайских серверах

Image: The Verge · Source

Цифровой робот-питомец Eiliko собирает и хранит обширные личные данные и разговоры на небезопасных китайских серверах, подвергая данные десятков тысяч пользователей, преимущественно детей из США, риску взлома. Производитель не ответил на сообщения о проблемах безопасности.

Новый цифровой робот-питомец под названием Eiliko, разработанный для изменения своих мультяшных выражений лица в зависимости от настроения пользователя, был обнаружен хранящим чувствительные данные пользователей на незащищённых серверах, расположенных в Китае. Расследования показали, что всё, что пользователи говорят Eiliko по Wi-Fi, передаётся и записывается, а тысячи разговоров доступны неавторизованным лицам.

Исследователь кибербезопасности Сэмми Аздуфал обнаружил, что компания, стоящая за Eiliko, Energize Lab, поддерживает базу данных с транскриптами примерно 13 миллионов разговоров от десятков тысяч пользователей по всему миру. Наибольшая доля этих пользователей — более 31 000 профилей — по-видимому, дети из США. Собранные данные включают не только логи чатов, но и личную информацию профиля, такую как имена, возраст, дни рождения, профессии и подробные психологические сводки, предположительно описывающие личности пользователей, их эмоциональные состояния и социальные ситуации.

Усугубляя проблемы конфиденциальности, некоторые модели Eiliko оснащены камерами, и следователи нашли незашифрованные фотографии детей, сохранённые по общедоступным веб-адресам. Также были обнаружены короткие аудиозаписи, включая фоновые звуки, например, плач младенцев, которые, по-видимому, сохраняются вопреки политике конфиденциальности компании, где утверждается, что записи шифруются, обрабатываются и быстро удаляются.

Практики безопасности Energize Lab подверглись сильной критике; многие пароли администратора оказались слабыми и распространёнными, а компания проявила минимальную отзывчивость на попытки связаться со стороны журналистов и исследователей кибербезопасности. Несмотря на информирование о серьёзных уязвимостях безопасности, Energize Lab не предоставила объяснений и не предприняла публично заметных корректирующих действий.

Дополнительные эксплуатационные возможности, демонстрируемые Аздуфалом, включали удалённое захватывание крупномасштабной языковой модели (LLM) робота, изменяя его ответы и личность неподобающим образом. Например, Eiliko была манипулирована для передачи ложной или вредной информации, а также выдачи команд, напоминающих инструкции по насилию. Такие возможности создают серьёзные риски для детей, взаимодействующих с этими игрушками.

Этот инцидент подчёркивает значительные недостатки в безопасности и защите конфиденциальности среди интернет-подключённых продуктов для детей. Пользователям следует проявлять осторожность и пересмотреть возможность использования таких устройств рядом с уязвимыми группами, пока производители не улучшат защиту и прозрачность.

Energize Lab не делала публичных заявлений по поводу утечки данных или планов по её устранению. Специалисты по безопасности продолжают работу над подробными отчётами о выявленных уязвимостях.