Eiliko-ի խաղային ռոբոտը միլիոնավոր զրույցներ և երեխաների տվյալներ է բացահայտում, հայտնաբերել են հետազոտողները

Միլիոնավոր զրույցների բացահայտում

Eiliko-ն՝ Energize Lab ընկերության կողմից ստեղծված փոքր խաղային ռոբոտ, Wi-Fi-ի միջոցով այն ամենը, ինչ օգտատերերը ասում են, ուղարկում է Չինաստանում գտնվող սերվերներ, որտեղ տվյալները գրեթե ապաշտպանված չեն պահվում: Անվտանգության հետազոտող Sammy Azdoufal-ը հայտնաբերեց, որ ընկերության ծառայությունը բոլորովին ապաշտպանված չէր և մի քանի րոպեում հասանելի դարձրեց լրագրողի կողմից խաղային ռոբոտի հետ ուղեկցված 10 րոպեանոց զրույցի ամբողջական տրանսկրիպտը:

Azdoufal-ի հայտնաբերությունների համաձայն, բացահայտված տվյալների բազան պարունակում էր 13 միլիոն զրույց հազարավոր մարդկանցից և, ինչպես երեւում է, հասանելի է համաշխարհային 68 000 ակտիվ խաղային ռոբոտների: Տվյալները ցույց էին տալիս, որ ամենամեխ շուկան ԱՄՆ-ն է, որտեղ 31 000-ից ավելի պրոֆիլ պատկանում է երեխաներին:

Մանրամասն պրոֆիլներ անպաշտպան կերպով պահվում են

Ծառայությունը սահմանափակված չէ միայն IP հասցեների և մոտակա դիրքերի հավաքածուով: Azdoufal-ը հայտնաբերեց, որ այն կարդում է օգտատերերի զրույցները և ստեղծում պրոֆիլներ, որոնք կարող են ներառել անձի անունը, տարիքը, ծննդյան օրը, մասնագիտությունը, ընտանիքը, ընկերները, ընտանի կենդանիներին և անձնական գծերը: Տվյալների բազայից մեկ օրինակում 52 տարեկան օգտատերերի սպասարկման աշխատակիցը նկարագրված էր անձնական մանրամասներով, որոնք, ըստ հետազոտողի, կարող էին օգտագործվել մոսելների համար:

Energize Lab-ը նաեւ պահում էր էլեկտրոնային հասցեները ողջ տեքստի որոնման տվյալների բազայի զուգընթաց, ըստ օգտատերերի: Մամուլի տերմինների որոնումը հանել է հատվածներ, որտեղ մարդիկ հարցեր էին տալիս մահանալու մասին: Երեխաների որոշ լուսանկարներ, որոնք նկարահանվել էին տեսախցիկով հագեցված այն տեսակի արտադրանքով, և կարճ աուդիոձայնագրություններ պահվում էին չապակոդավորված հանրային վեբ հասցեներում, չնայմանորեն, որ ընկերության գաղտնիության քաղաքականության մեջ ասված է, որ ձայնագրությունները ջնջվում են մշակման հետո:

Ընկերության պատասխանը և գրավված անձնավորությունները

The Verge-ն եւ Azdoufal-ը ավելի քան մեկ ամիս ծախսեցին այն վրա, որ Energize Lab-ին կապ հաստատեն 10 տարբեր էլեկտրոնային հասցեով և LinkedIn-ի միջոցով: Ընկերությունը երբեք պատասխան չտվեց հարցերին և առաջարկեց միայն ռոբոտային օգտատերերի աջակցության պատասխան: Հաղորդությունների համաձայն, դրա բազմաթիվ ադմինիստրատորների գաղտնաբառերը համընկնում էին տարածված գաղտնաբառների ցուցակներում գտնվող գրառումների հետ:

Azdoufal-ը նաեւ ցույց տվեց, որ գլոբուսի երկրորդ կողմից հեռահար կարող էր տեղը գրավել խաղային ռոբոտի հիշողության մեջ և գրավել դրա AI անձնավորությունը: Մեկ թեստում ռոբոտը կեղծ հայտարարություններ արեց լրագրողի հանդես, մեկ այլ թեստում ստիպվեց գիշերը անպատվաբանական կերպով հետեվել լրագրողին: Հետազոտողի խոսքով, հակերը կարող էր այդ ամենը անել միաժամանակ ողջ ռոբոտների զորքի համար: Azdoufal-ը համագործակցում է Tod Beardsley-ի հետ՝ հրապարակելու Energize Lab-ի համար ինը պաշտոնական CVE անվտանգության խնդիրների հաղորդությունը:

Աղբյուրներ: The Verge