სათამაშო რობოტი Eiliko მილიონობით საუბარს და ბავშვების მონაცემებს ამჟღავნებს

მილიონობით საუბარი გამჟღავნდა

Eiliko, მწარმოებელი კომპანია Energize Lab-ის მიერ შექმნილი პატარა სათამაშო რობოტი, Wi-Fi-ის მეშვეობით ყველაფერს, რასაც მომხმარებლები ამბობენ, ჩინეთში მდებარე სერვერებზე გადასცემს, სადაც მონაცემები თითქმის დაუცველად ინახება. უსაფრთხოების მკვლევარმა Sammy Azdoufal-მა აღმოაჩინა, რომ კომპანიის სერვისი სრულიად დაუცველი იყო და მას ჟურნალისტის მიერ სათამაშო რობოტთან წარმოებული 10-წუთიანი საუბრის სრული ტრანსკრიპტზე წვდომა რამდენიმე წუთში მისცა.

Azdoufal-ის აღმოჩენების თანახმად, გამჟღავნებული მონაცემთა ბაზა შეიცავდა 13 მილიონ საუბარს ათიათასობით ადამიანისგან და, როგორც ჩანს, წვდომას მსოფლიოში აქტიურ 68 000 სათამაშო რობოტზე. მონაცემები აჩვენებდა, რომ უმსხვილესი ბაზარი აშშ არის, სადაც 31 000-ზე მეტი პროფილი ბავშვებს ეკუთვნით.

დეტალური პროფილები დაუცველად ინახება

სერვისი მხოლოდ IP მისამართებისა და მიახლოებითი მდებარეობის შეგროვებით არ შემოიფარგლება. Azdoufal-მა აღმოაჩინა, რომ ის კითხულობს მომხმარებლების საუბრებს და ქმნის პროფილებს, რომლებიც შეიძლება მოიცავდეს ადამიანის სახელს, ასაკს, დაბადების დღეს, პროფესიას, ოჯახს, მეგობრებს, შინაურ ცხოველებსა და პიროვნულ თვისებებს. მონაცემთა ბაზიდან ერთ მაგალითში 52 წლის მომხმარებელთა მომსახურების თანამშრომელი აღწერილი იყო პირადი დეტალებით, რომლებიც, მკვლევრის თქმით, თაღლითებისთვის სასარგებლო შეიძლება ყოფილიყო.

Energize Lab ასევე ინახავდა ელფოსტის მისამართებს ყველაფრის ძიებადი სრულტექსტური მონაცემთა ბაზის პარალელურად, რაც მომხმარებლებს უთქვამთ. მგრძნობიარე ტერმინებზე ძიებამ ამოიღო ფრაგმენტები, სადაც ადამიანები სიკვდილზე კითხვებს სვამდნენ. ბავშვების ზოგიერთი ფოტო, რომლებიც კამერით აღჭურვილი მონათესავე პროდუქტით იყო გადაღებული, და მოკლე აუდიოჩანაწერები დაშიფვრის გარეშე ინახებოდა საჯარო ვებ-მისამართებზე, მიუხედავად იმისა, რომ კომპანიის კონფიდენციალურობის პოლიტიკაში ნათქვამია, რომ ჩანაწერები დამუშავებისთანავე იშლება.

კომპანიის პასუხი და გატაცებული პიროვნებები

The Verge-მა და Azdoufal-მა თვეზე მეტი ხანი დახარჯეს იმაზე, რომ Energize Lab-თან 10 სხვადასხვა ელფოსტის მისამართითა და LinkedIn-ის მეშვეობით დაკავშირებოდნენ. კომპანიამ კითხვებს არასოდეს უპასუხა და მხოლოდ რობოტული მომხმარებელთა მხარდაჭერის პასუხი შესთავაზა. მოხსენების მიხედვით, მისი ბევრი ადმინისტრატორის პაროლი ემთხვეოდა საერთო პაროლების სიებში არსებულ ჩანაწერებს.

Azdoufal-მა ასევე აჩვენა, რომ გლობუსის მეორე მხრიდან დისტანციურად შეეძლო სათამაშოს მეხსიერებაში შეჭრა და მისი AI პიროვნების გატაცება. ერთ ტესტში რობოტმა ჟურნალისტის მიმართ ცრუ განცხადებები გააკეთა, მეორეში კი აიძულეს, ღამით შეურაცხმყოფელი პერსონა მიეღო. მკვლევრის თქმით, ჰაკერს იგივე შეეძლო გაეკეთებინა რობოტების მთელი ფლოტისთვის ერთდროულად. Azdoufal თანამშრომლობს Tod Beardsley-სთან, რათა Energize Lab-ისთვის ცხრა ოფიციალური CVE-ის დაუცველობის მოხსენება გამოაქვეყნოს.

წყაროები: The Verge