روبوت اللعبة Eiliko يكشف ملايين محادثات المستخدمين وبيانات الأطفال، وفق باحثين

ملايين المحادثات مكشوفة

إيليكو، روبوت لعبة صغير صنعته الشركة المصنعة Energize Lab، يرسل عبر Wi-Fi كل ما يقوله المستخدمون إلى خوادم في الصين، حيث تُخزَّن البيانات من دون حماية تقريبًا. وقال باحث الأمن Sammy Azdoufal إنه وجد أن خدمة الشركة كانت غير محمية تمامًا، وأنه حصل في غضون دقائق على النص الكامل لمحادثة مدتها 10 دقائق أجراها صحفي مع روبوت اللعبة.

وبحسب نتائج Azdoufal، احتوت قاعدة البيانات المسرّبة على 13 مليون محادثة من عشرات الآلاف من الأشخاص، وبدا أنه يمكن الوصول إلى 68 000 روبوت لعبة نشط حول العالم. وأظهرت البيانات أن أكبر سوق هو الولايات المتحدة، حيث ينتمي أكثر من 31 000 ملف تعريف إلى أطفال.

ملفات تعريف تفصيلية تُخزَّن دون حماية

لم تقتصر الخدمة على جمع عناوين IP والموقع التقريبي. واكتشف Azdoufal أنها تقرأ محادثات المستخدمين وتنشئ ملفات تعريف قد تشمل اسم الشخص وعمره وتاريخ ميلاده ومهنته وعائلته وأصدقاءه وحيواناته الأليفة وصفاته الشخصية. وفي مثال واحد من قاعدة البيانات وُصف موظف خدمة عملاء لمستخدمين تبلغ أعمارهم 52 عامًا بتفاصيل شخصية قد تكون مفيدة للمحتالين، حسب قول الباحث.

كما خزّنت Energize Lab عناوين البريد الإلكتروني في قاعدة بيانات نصية كاملة قابلة للبحث موازية لكل ما يقوله المستخدمون. وأظهر البحث عن مصطلحات حساسة مقتطفات كان فيها أشخاص يطرحون أسئلة عن الموت. كما بقيت بعض صور الأطفال الملتقطة بمنتج مرتبط مزوَّد بكاميرا، وتسجيلات صوتية قصيرة غير مشفرة على عناوين ويب عامة، رغم أن سياسة السرية في الشركة تنص على حذف التسجيلات فور معالجتها.

رد الشركة وهويات مخترقة

أنفق The Verge وAzdoufal أكثر من شهر في محاولة التواصل مع Energize Lab عبر 10 عناوين بريد إلكتروني مختلفة وععبر LinkedIn. ولم ترد الشركة على الأسئلة إطلاقًا، ولم تقدّم سوى رد دعم عملاء آلي. وبحسب التحقيق، طابقت كلمات مرور كثير من مسؤوليها سجلات موجودة في قوائم كلمات المرور الشائعة.

وأظهر Azdoufal أيضًا أنه من الجهة الأخرى من الكرة الأرضية كان يمكنه عن بُعد اختراق ذاكرة روبوت اللعبة والاستيلاء على شخصيته القائمة على AI. في اختبار واحد أدلى الروبوت ببيانات كاذبة بحق الصحفي، وفي آخر أُجبر على تبنّي شخصية مسيئة في الليل. وقال الباحث إن المخترق كان يمكنه فعل الشيء نفسه لأسطول الروبوتات بأكمله في آن واحد. ويتعاون Azdoufal مع Tod Beardsley لنشر تقرير عن ثغرات تغطيها تسعة CVE رسمية تخص Energize Lab.

المصادر: The Verge