חוקרים גילו שרובוט הצעצוע של Eiliko חושף מיליוני שיחות משתמשים ונתוני ילדים

נחשפו מיליוני שיחות

Eiliko, רובוט צעצוע קטן שנוצר על ידי היצרן Energize Lab, משדר באמצעות Wi-Fi את כל מה שמשתמשים אומרים לשרתים בסין, שם הנתונים מאוחסנים כמעט ללא הגנה. חוקר האבטחה Sammy Azdoufal גילה שהשירות של החברה היה חשוף לגמרי ואפשר גישה תוך מספר דקות לתמליל המלא של שיחה בת 10 דקות בין עיתונאי לרובוט הצעצוע.

לפי ממצאיו של Azdoufal, מסד הנתונים של השיחות שנחשף הכיל 13 מיליון שיחות מעשרות אלפי אנשים, וככל הנראה אפשר גישה אל 68 000 רובוטי צעצוע פעילים ברחבי העולם. הנתונים הראו כי השוק הגדול ביותר הוא ארה״ב, שם יותר מ-31 000 פרופילים שייכים לילדים.

פרופילים מפורטים מאוחסנים ללא הגנה

השירות אינו מוגבל לאיסוף כתובות IP ומיקום משוער בלבד. Azdoufal גילה שהוא קורא את שיחות המשתמשים ויוצר פרופילים שעשויים לכלול את שם האדם, גילו, יום ההולדת, המקצוע, המשפחה, החברים, חיות המחמד ותכונות אישיות. בדוגמה אחת ממסד הנתונים, נציג שירות המטפל במשתמשים בני 52 תואר עם פרטים אישיים, שעל פי החוקר עלולים להיות שימושיים להונאים.

Energize Lab אחסן גם כתובות דוא״ל במקביל למסד נתונים טקסטואלי מלא הניתן לחיפוש של כל מה שהמשתמשים אמרו. חיפוש במונחים רגישים העלה קטעים שבהם אנשים שאלו שאלות על מוות. תמונות של ילדים מסוימים שצולמו עם מוצר הממשיך המצויד במצלמה, והקלטות שמע קצרות נשמרו ללא הצפנה בכתובות אינטרנט ציבוריות, למרות שמדיניות הפרטיות של החברה מצהירה שההקלטות נמחקות עם עיבודם.

תגובת החברה ואישיות שנחטפת

The Verge ו-Azdoufal השקיעו יותר מחודש בניסיון ליצור קשר עם Energize Lab באמצעות 10 כתובות דוא״ל שונות ודרך LinkedIn. החברה מעולם לא ענתה על שאלות והציעה רק תגובת תמיכת לקוחות רובוטית. לפי הדיווח, רבים מסיסמאות המנהלים שלה תאמו רשומות ברשימות של סיסמאות נפוצות.

Azdoufal הראה גם שמהצד השני של הגלובוס הוא יכל לפרוץ מרחוק את הזיכרון של הצעצוע ולחטוף את אישיות ה-AI שלו. במבחן אחד הרובוט הצהיר הצהרות שקריות כלפי העיתונאי, ובשני הוא אולץ להשמיע פרסונה מגונה בלילה. לטענת החוקר, האקר יכול היה לעשות את זה גם לכל צי הרובוטים בו זמנית. Azdoufal משתף פעולה עם Tod Beardsley כדי לפרסם דיווח פגיעויות של תשעה CVE רשמיים עבור Energize Lab.

מקורות: The Verge