Säkerhetsbrister i Eiliko-robotleksak blottställer känslig användardata på kinesiska servrar

Bild: The Verge · Källa

Den digitala husdjursroboten Eiliko samlar in och lagrar omfattande personlig information och konversationer på oskyddade kinesiska servrar, vilket exponerar data från tiotusentals användare, främst barn i USA, för hackare. Tillverkaren har inte bemött säkerhetsfrågorna.

En ny digital husdjursrobot, kallad Eiliko, som är designad för att förändra sina tecknade ansiktsuttryck för att matcha användarens humör, har visat sig lagra känslig användardata på oskyddade servrar i Kina. Undersökningar visar att allt användare säger till Eiliko över Wi-Fi överförs och sparas, med tusentals konversationer tillgängliga för obehöriga.

Cybersäkerhetsforskaren Sammy Azdoufal avslöjade att företaget bakom Eiliko, Energize Lab, upprätthåller en databas innehållande transkript från cirka 13 miljoner konversationer från tiotusentals användare världen över. Den största andelen av dessa användare, över 31 000 profiler, verkar vara barn i USA. Den insamlade datan inkluderar inte bara chattloggar utan också personlig profilinformation som namn, ålder, födelsedagar, yrken och detaljerade psykologiska sammanfattningar, som påstås profilera användarnas personligheter, känslotillstånd och sociala situationer.

För att förvärra integritetsproblemen har vissa Eiliko-modeller kameror, och utredare fann okrypterade fotografier på barn lagrade på offentligt tillgängliga webbadresser. Korta ljudinspelningar, inklusive bakgrundsljud som barnskrik, upptäcktes också och verkar sparas i strid med företagets integritetspolicy, som hävdar att inspelningar är krypterade, bearbetade och snabbt raderade.

Energize Labs säkerhetspraxis har fått hård kritik; många administratörslösenord visade sig vara svaga och vanliga, och företaget har visat minimal respons på försök att nå ut från cybersäkerhetsjournalister och forskare. Trots att de informerats om allvarliga säkerhetsbrister har Energize Lab inte gett några förklaringar eller vidtagit offentligt synliga korrigerande åtgärder.

Ytterligare exploateringar som demonstrerats av Azdoufal inkluderar fjärrkapning av robotens stora språkmodell (LLM), vilket möjliggör att ändra dess svar och personlighet olämpligt. Till exempel manipulerades Eiliko till att förmedla falsk eller skadlig information samt ge instruktioner som liknar övergrepp. Sådana funktioner innebär allvarliga risker för barn som interagerar med dessa leksaker.

Denna incident belyser betydande brister i säkerhets- och sekretesskydd bland internetuppkopplade barnprodukter. Användare bör vara försiktiga och ompröva att tillåta sådana enheter nära sårbara grupper tills tillverkare förbättrar skydd och transparens.

Energize Lab har inte gjort några offentliga uttalanden som tar upp dataexponeringen eller beskriver planer för åtgärder. Säkerhetsspecialister fortsätter att arbeta med detaljerade rapporter om sårbarheter som dokumenterar dessa fynd.