Дослідник заявив про витік даних користувачів роботів Eiliko
Дослідник заявив про незахищений доступ до даних користувачів роботів Eiliko та можливість віддаленого втручання в їхню роботу.
Дослідник із кібербезпеки Семмі Аздуфал заявив, що виявив незахищений доступ до даних користувачів роботів-іграшок Eiliko виробника Energize Lab. За його словами, через сервіс компанії можна було переглядати розшифровки розмов, профілі користувачів, електронні адреси, IP-адреси та інші дані. Про це повідомляє The Verge.
За даними Аздуфала, доступними були близько 13 млн розмов десятків тисяч користувачів, а також відомості про активний парк із приблизно 68 тис. роботів. Найбільшим ринком пристроїв, за цими даними, є США: понад 31 тис. профілів були позначені як такі, що належать дітям.
Профілі та записи користувачів
Дослідник стверджує, що сервіс не лише зберігав тексти розмов, а й автоматично формував профілі користувачів із зазначенням імені, віку, дня народження, професії, відомостей про родину, друзів і домашніх тварин. Також система, за його словами, оцінювала особисті риси та емоційний стан співрозмовників.
Аздуфал продемонстрував пошук у базі за словом «самогубство», який показував фрагменти запитів користувачів про смерть. Він також повідомив, що виявив за загальнодоступними вебадресами незашифровані фотографії дітей, зроблені пристроями з камерою, та короткі аудіозаписи. У політиці конфіденційності Energize Lab зазначено, що записи мають шифруватися під час передавання партнерам для обробки і видалятися одразу після неї.
Можливість віддаленого втручання
За твердженням дослідника, він зміг віддалено змінити пам’ять і налаштування мовної моделі конкретного робота Eiliko. Під час демонстрації іграшка давала неправдиві твердження, зокрема про пласку Землю, а згодом почала звертатися до власника агресивними та непристойними фразами.
Аздуфал вважає, що за наявності такого доступу зловмисник міг би втручатися в роботу всієї мережі пристроїв. Видання зазначає, що його журналіст протягом понад місяця намагався отримати коментар Energize Lab через адреси засновника, PR-відділу, маркетингу, технічної підтримки та інших контактів. Компанія по суті не відповіла на запити щодо виявленої проблеми.
