Araşdırmaçılar Eiliko robotunun milyonlarla söhbəti və uşaqların məlumatlarını ifşa etdiyini aşkar etdi

Milyonlarla söhbət aşkar edildi

Eiliko, istehsalçı şirkət Energize Lab tərəfindən yaradılan kiçik oyuncaq robot, Wi-Fi vasitəsilə istifadəçilərin dediklərini Çində yerləşən serverlərə göndərir; burada məlumatlar demək olar ki, qorunmadan saxlanılır. Təhlükəsizlik araşdırmaçısı Sammy Azdoufal şirkətin xidməti tamamilə qorunmadığını və jurnalistin robotla apardığı 10 dəqiqəlik söhbətin tam transkriptinə bir neçə dəqiqə ərzində imkan verdiyini aşkar etdi.

Azdoufalın aşkar etdiyinə görə, ifşa olunan məlumat bazası on minlərlə insandan 13 milyon söhbəti ehtiva edir və dünya üzrə 68 000 aktiv oyuncaq robotuna girişi olduğu görünür. Məlumatlar ən böyük bazarın AŞŞ olduğunu göstərir; orada 31 000-dən çox profil uşaqla bağlıdır.

Ətraflı profillər qorunmadan saxlanılır

Xidmət yalnız IP ünvanları və yaxınlıqdakı mövqeyin toplanması ilə məhdudlaşmır. Azdoufal onun istifadəçilərin söhbətlərini oxuduğunu və insanın adını, yaşını, doğum gününü, peşəsini, ailəsini, dostlarını, ev heyvanlarını və şəxsi xüsusiyyətlərini əhatə edə bilən profillər yaratdığını aşkar etdi. Məlumat bazasından bir nümunədə 52 yaşlı istifadəçilərin xidmət əməkdaşı şəxsi detallarla təsvir edilmişdi; araşdırmaçıya görə bunlar saxtakarlar üçün faydalı ola bilərdi.

Energize Lab həmçinin istifadəçilərin dediyinə görə e-poçt ünvanlarını axtarış üçün tam mətn məlumat bazası ilə paralel saxlayırdı. Həssas terminlər üzrə axtarış insanların ölmlə bağlı suallar verdiyi fragmənlər çıxardı. Kameralı nəsil məhsulu ilə çəkilmiş bəzi uşaqların fotoşəkilləri və qısa audio qeydlər şifrələnmədən açıq veb ünvanlarda saxlanıldı; halbuki şirkətin məxfilik siyasətində qeydlərin emal dərhal silinməsi bildirilir.

Şirkətin cavabı və oğurlanan şəxsiyyətlər

The Verge və Azdoufal Energize Lab ilə 10 müxtəlif e-poçt ünvanı və LinkedIn vasitəsilə əlaqə saxlamaq üçün bir aydan çox vaxt sərf etdi. Şirkət heç vaxt suallara cavab vermədi və yalnız robot istifadəçilərinə dəstək cavabını təklif etdi. Bildirilişə görə, onun bir çox administratorunun parolu ümumi parollar siyahısındakı qeydlərə uyğun gəlirdi.

Azdoufal həmçinin globusun digər tərəfindən uzaqdan robotun yaddaşına daxil olunması və onun AI şəxsiyyətinin oğurlanması mümkün olduğunu göstərdi. Bir testdə robot jurnalistə qarşı yalan bəyanatlar verdi, digərində isə gecə vaxtı təhqir edilən şəxsiyyəti təyin etməyə məcbur edildi. Araşdırmaçıya görə, haker eyni şeyi robotların bütün filosu üçün eyni anda edə bilərdi. Azdoufal Energize Lab üçün doqmuz rəsmi CVE zəifliyinin hesabatını dərc etmək məqsədilə Tod Beardsley ilə əməkdaşlıq edir.

Mənbələr: The Verge