Robot dla dzieci ujawnił miliony rozmów. Naprawy są sporne

Badacz bezpieczeństwa Sammy Azdoufal miał dostęp do 13 mln rozmów z robotami Eiliko, napisał 17 października serwis technologiczny TechSpot. Eiliko to robot-towarzysz firmy Energize Lab. Według portalu Telepolis te roboty są skierowane przede wszystkim do dzieci i można je kupić również w Polsce.

Według TechSpot robot może przechowywać rozmowy na serwerach w Chinach. Według ITHardware jest sprzedawany choćby na Amazonie, od około 350 zł.

Serwis Yahoo Tech przytacza relację o 9,1 mln rozmów w kopii bazy opatrzonej datą. Wcześniejsze zliczenie portalu Cybernews dało według bloga Cautellus około 8,3 mln rozmów zapisanych jako czytelny tekst na serwerach w Pekinie. TechSpot pisze o tym, co wyglądało na całą aktywną flotę, a Yahoo Tech zastrzega: pokaz dowodzi, że taka możliwość istniała. Nie wynika z niego przejęcie każdego urządzenia.

Według Yahoo Tech wśród ujawnionych zapisów były transkrypcje rozmów, adresy e-mail i IP oraz automatycznie tworzone profile z imionami, wiekiem, datami urodzenia i relacjami rodzinnymi. Blog Cautellus pisze, że według doniesień ponad 31 tys. profili należało do dzieci w USA. To największy rynek robota.

Według TechSpot polityka producenta mówi, że nagrania są szyfrowane i przekazywane partnerom usługowym, na przykład Alibaba Cloud, do przetworzenia, a po nim natychmiast usuwane. Mowa w niej o nagraniach. Serwis Instalki pisze, że dane zapisano na serwerach w formie czystego tekstu. TechSpot dodaje, że usługa trzymała zdjęcia dzieci i krótkie nagrania audio pod publicznie dostępnymi adresami internetowymi.

W połowie października, pisze Cautellus, nie było publicznej poprawki ani publicznego oświadczenia.

Serwis Quest Review Center opisał 22 października oświadczenie producenta. Energize Lab przeprosił za opóźnioną reakcję, potwierdził główne problemy wskazane przez badaczy i zapowiedział usunięcie zapisanych rozmów i profili użytkowników. Platformę sprawdzi niezależna firma od bezpieczeństwa. Dopiero potem wrócą wyłączone funkcje: pamięć długoterminowa i własne awatary.

Według serwisu Zetik badacz Sammy Azdoufal uznał poprawki za niepełne: w chwili wysłania oświadczenia przez firmę nadal miał pełny dostęp do robotów przez SSH, a niezabezpieczone publiczne linki wciąż ujawniały nagrania audio i zdjęcia klientów. SSH to zdalne logowanie do systemu urządzenia.

Raport grupy Austin Hackers Anonymous (AHA!) opisuje trzeci ponowny test z 14 września: wciąż otwartych było 42 z 44 zdalnie testowalnych ustaleń. To stan sprzed oświadczenia producenta, więc raport nie rozstrzyga, czy obecne poprawki działają.

1. 1

   Odłączyć robota od Wi-Fi

   Według serwisu FDaytalk bez połączenia z chmurą robot nie może wysyłać rozmów ani odbierać przejętej osobowości. Telepolis radzi zabawkę wyłączyć i najlepiej zniszczyć.

2. 2

   Usunąć profile i zażądać usunięcia danych

   Usunąć lub zanonimizować profile w aplikacji, jak radzi Cautellus, i napisać do Energize Lab z żądaniem usunięcia rozmów i profilu dziecka. Według Urzędu Ochrony Danych Osobowych (UODO) administrator danych, czyli podmiot odpowiadający za przetwarzanie danych, ma obowiązek odpowiedzieć na żądanie najszybciej, jak to możliwe.

3. 3

   Skarga do Prezesa UODO

   Według UODO skargę do Prezesa Urzędu może złożyć osoba fizyczna, jeżeli nieprawidłowe przetwarzanie dotyczy jej danych osobowych; urząd może nakazać spełnienie żądania dopiero po tym, jak osoba zwróciła się z nim do administratora. Strona UODO nie rozstrzyga, czy urząd może działać wobec Energize Lab.

Serwis Bezprawnik radzi przed zakupem przeczytać politykę prywatności producenta.

• Gdzie trafiają rozmowy i nagrania? W Eiliko, według TechSpot: możliwe serwery w Chinach i partnerzy usługowi, na przykład Alibaba Cloud.
• Jak długo są przechowywane i czy da się je skasować? Polityka Eiliko mówi o natychmiastowym usunięciu nagrań po przetworzeniu, a według Instalek dane zapisano na serwerach jako czysty tekst.
• Co robi zabawka bez połączenia z internetem? Eiliko po odłączeniu od chmury nie wysyła rozmów, pisze FDaytalk.
• Czy istnieje niezależna ocena bezpieczeństwa? Audyt zewnętrznej firmy dla Eiliko zapowiedziano dopiero po ujawnieniu luk.
• Czy producent odpowiada na zgłoszenie luki? Według TechSpot serwis technologiczny The Verge ponad miesiąc próbował skontaktować się z Energize Lab.