"הסודות שלך שמורים איתי": צעצוע הרובוט Eiliko שומר את שיחות המשתמשים, כולל ילדים, על שרתים בסין בלי הגנה

הוא קטן, נראה כמו מרשמלו ומחליף הבעות פנים מצוירות לפי מצב הרוח של מי שמולו. אבל לפי תחקיר שפרסם היום אתר The Verge, כשמדברים עם הרובוט Eiliko דרך Wi-Fi, הוא שולח את השיחה לשרתים בסין. שם היא נשמרת כמעט בלי הגנה, וכל האקר יכול להגיע אליה בקלות.

"הסודות שלך שמורים איתי"

שון הוליסטר, עורך בכיר ב-The Verge, קנה את הרובוט באמזון ב-29 באוגוסט. למחרת ניהל איתו שיחה של עשר דקות ושאל: "אתה מספר פעם למישהו אחר מה אני אומר?" הרובוט ענה: "הסודות שלך שמורים איתי". לפי הוליסטר, בתוך דקות היה אצל אדם בצד השני של העולם תמלול מלא של כל מה שאמר לצעצוע.

האדם הזה הוא סמי אזדופל, חוקר שהוליסטר מכנה "ההאקר המקרי". בחודשים האחרונים הוא כבר הראה שאפשר לשלוט מרחוק בצי של שואבי אבק רובוטיים של DJI, לצפות במצלמות של Meari, כולל מוניטורים לתינוקות, ולמצוא כמעט מיליון צילומי תעודות מזהות שהיו חשופים ברשת. הפעם הוא קנה Eiliko בחנות Yodobashi Camera ביפן. כשבדק את האפליקציה, גילה שהשירות של היצרנית, Energize Lab, לא מוגן כלל.

13 מיליון שיחות ו-31 אלף ילדים

לפי התחקיר, אזדופל יכול היה לקרוא 13 מיליון שיחות של עשרות אלפי אנשים ולגשת לכ-68 אלף רובוטים, ככל הנראה כמעט כל הרובוטים הפעילים בעולם. לפי הנתונים, השוק הגדול ביותר של המוצר הוא ארה"ב, ושם יותר מ-31 אלף פרופילים שייכים לילדים. לדברי The Verge, האקרים יכולים גם להשתלט על "האישיות" של הרובוט.

החלק המטריד ביותר הוא בניית הפרופילים. השירות לא רק אוסף כתובת IP ומיקום משוער. הוא קורא את השיחות ובונה לכל משתמש פרופיל שכולל שם, גיל, תאריך לידה, מקצוע, בני משפחה, חברים, חיות מחמד וגם הערכה של האופי שלו. בדוגמה שמביא התחקיר, המערכת רשמה על לוסי, עובדת שירות לקוחות בת 52, שהיא "אדיבה, אמפתית וחרוצה", אבל גם ש"מתקשה לסמוך על בני משפחה" ו"מרגישה כרגע מבודדת". הוליסטר מציין שזה סוג המידע שהאקר עשוי לחפש כשהוא מנסה לאתר קורבנות להונאה.

לפי אזדופל, הפרופילים נשמרים יחד עם כתובת האימייל, כתובת ה-IP ומאגר טקסט מלא שאפשר לחפש בו את כל מה שהמשתמשים אמרו אי פעם. כשחיפש בו את המילה "התאבדות", קיבל קטעים מפניות של אנשים ששאלו על מוות.

תמונות והקלטות בכתובות פתוחות

החשיפה לא נעצרת בטקסט. לאחד הדגמים הגדולים יותר במשפחת המוצרים יש מצלמה, ולפי התחקיר, במקרים מסוימים החברה שמרה גם תמונות של ילדים. התמונות לא מוצפנות, והן שמורות בכתובות אינטרנט ציבוריות. כך גם הקלטות קול קצרות של משתמשים, למשל ילד שאומר "Eilik, sleep" או הקלטה של 45 שניות עם תינוק בוכה ברקע.

לפי מדיניות הפרטיות של החברה, הקלטות מוצפנות, נשלחות לספקי שירות כמו Alibaba Cloud של עליבאבא לעיבוד ונמחקות מיד בתום העיבוד. מהממצאים עולה שזה לא מה שקורה בפועל. לפי התחקיר, רבות מסיסמאות הניהול של החברה הן מהסוג שמופיע ברשימות "הסיסמאות הנפוצות ביותר". הוליסטר כותב שניסה במשך יותר מחודש ליצור קשר עם Energize Lab, דרך עשר כתובות מייל שונות ובאמצעות LinkedIn, ושהחברה לא התייחסה ברצינות לפניות שלו ושל אזדופל.

למה זה חשוב

צעצועים וגאדג'טים עם צ'טבוט מובנה נמכרים יותר ויותר כ"חבר" לילדים ולמבוגרים בודדים. המקרה של Eiliko מראה שמה שהופך את המוצרים האלה לאטרקטיביים, שיחה אינטימית ותחושה שמישהו מקשיב, הוא גם מה שהופך אותם למסוכנים כשהיצרן לא שומר על המידע. ככל הנראה, מי שמכניס הביתה מוצר כזה צריך לשאול לפני הקנייה לאן נשלחות השיחות, מי יכול לקרוא אותן ומה החברה עושה איתן. התשובה החמודה של הרובוט לא מבטיחה דבר.