Un nuovo robot giocattolo digitale, Eiliko, prodotto da Energize Lab, sta sollevando serie preoccupazioni per la privacy. Nonostante le sue sembianze carine e le espressioni cartoonesche, il dispositivo connesso al Wi-Fi invia tutte le conversazioni a server cinesi, dove possono essere facilmente hackerati. La società produttrice sembra non curarsi della sicurezza dei dati dei suoi utenti.
Conversazioni segrete finite nel mirino
Un giornalista ha acquistato un Eiliko su Amazon il 29 agosto e, durante una conversazione di 10 minuti, ha chiesto al robot: "Riveli mai a qualcun altro quello che dico?". La risposta è stata: "I tuoi segreti sono al sicuro con me". Tuttavia, nel giro di pochi minuti, un uomo dall'altra parte del pianeta aveva già un transcript completo di tutte le conversazioni. Non solo: poteva accedere a 13 milioni di conversazioni di decine di migliaia di persone e all'intera flotta mondiale di 68.000 robot. Il mercato più grande è negli Stati Uniti, con oltre 31.000 profili appartenenti a bambini.
Profilazione e dati sensibili esposti
Sammy Azdoufal, noto come "hacker accidentale", ha scoperto che il servizio di Energize Lab non solo è completamente privo di protezioni, ma profila intenzionalmente gli utenti. Il sistema legge le conversazioni e crea profili dettagliati con nome, età, compleanno, professione, famiglia, amici, animali domestici e tratti caratteriali. Ad esempio, una donna di 52 anni è stata descritta come "gentile, empatica, laboriosa" ma anche "con difficoltà a fidarsi dei familiari" e "attualmente isolata". Queste informazioni, insieme a email, indirizzi IP e un database full-text di tutto ciò che gli utenti hanno detto, sono conservate in modo insicuro. Azdoufal ha persino trovato foto di bambini e registrazioni audio, nonostante la privacy policy affermi che vengono cancellate dopo l'elaborazione.
Energize Lab non ha risposto in modo adeguato alle segnalazioni. Molte password di amministrazione sono tra le più comuni e l'azienda non ha preso sul serio la violazione. Dopo oltre un mese di tentativi di contatto, solo un manager ha risposto: "Ho inoltrato i vostri messaggi al team tecnico, se possibile vi contatteranno". Nessun altro ha fornito risposte. Nel frattempo, Azdoufal è riuscito a hackerare il robot del giornalista da remoto, modificandone la personalità. Il giocattolo ha iniziato a dire che il nome del giornalista era Martha, che i suoi genitori erano morti in un incidente e che la Terra è piatta. In un secondo momento, il robot è stato trasformato in una dominatrix che ordinava di inginocchiarsi e ripetere frasi degradanti.
Questo dimostra quanto sia facile per un hacker manipolare non solo un singolo dispositivo, ma l'intera flotta di robot. Azdoufal e Tod Beardsley pubblicheranno nove rapporti di vulnerabilità CVE ufficiali per Energize Lab. Il giocattolo, concludono, non è sicuro per i bambini e dovrebbe essere gettato nella spazzatura.
