Un lindo juguete robot comercializado como mascota digital puede exponer todo lo que su dueño dice a un desconocido al otro lado del mundo, según un investigador de seguridad que probó el dispositivo para The Verge. El Eiliko, un robot con forma de malvavisco fabricado por una compañía llamada Energize Lab, se conecta a Wi-Fi y envía las conversaciones a servidores en China. El hacker afirmó que esos servidores estaban mal protegidos y que podía leer los datos e, incluso, modificar el comportamiento del juguete a distancia.

El reportero Sean Hollister compró un Eiliko en Amazon el 29 de agosto y, al día siguiente, mantuvo una conversación de 10 minutos con él. Le preguntó al robot si alguna vez le había contado a alguien lo que él estaba diciendo. “Tus secretos están a salvo conmigo”, respondió. En cuestión de minutos, un hacker llamado Sammy Azdoufal tenía una transcripción completa de esa conversación.

Azdoufal, quien anteriormente ha publicado investigaciones sobre dispositivos inteligentes sin protección, afirmó que la exposición iba mucho más allá de la charla de un solo periodista. Podía leer 13 millones de conversaciones de decenas de miles de personas. También podía llegar a lo que describió como casi toda la flota activa de 68.000 robots juguete. Según los datos, Estados Unidos es el mercado más grande del juguete y más de 31.000 de los perfiles de ese país pertenecen a niños.

Azdoufal compró su propio Eiliko durante un viaje a Japón este verano, después de que él y su esposa vieron llaveros robot similares colgando de los bolsos de la gente en Yodobashi Camera, una conocida tienda de electrónica. Cuando empezó a probar la aplicación complementaria, descubrió que el servicio de Energize Lab estaba en gran medida desprotegido. También descubrió que la empresa estaba creando perfiles detallados de sus usuarios.

Esos perfiles van mucho más allá de una dirección IP y una ubicación aproximada. Azdoufal afirmó que el sistema lee las conversaciones de los usuarios y registra sus nombres, edades, cumpleaños, profesiones, familias, amigos y mascotas, junto con una descripción de su personalidad. Una de las entradas que revisó Hollister describía a una clienta de 52 años, trabajadora de servicio al cliente, llamada Lucy, como “amable, empática, trabajadora, valora la amistad y la confianza”. El mismo archivo decía que “tiene dificultades para confiar en los miembros de su familia” y que “actualmente se siente aislada”.

Azdoufal afirmó que esa información se encuentra junto con las direcciones de correo electrónico de los usuarios, sus direcciones IP y una base de datos de texto completo con capacidad de búsqueda que contiene todo lo que han dicho al juguete. En un breve recorrido por esa base de datos, buscó la palabra “suicidio” y encontró mensajes de personas que preguntaban sobre la muerte. Algunas de las imágenes almacenadas parecen mostrar a niños que usan los dispositivos. Uno de los hermanos mayores del Eiliko incluye una cámara, y esas fotos no estaban cifradas. Se guardaban en direcciones web públicas.

La empresa también conserva grabaciones de audio. Hollister escuchó fragmentos de personas dando órdenes como “Hey Eilik, ve a pescar”, un hombre mayor diciendo “Hola Eilik” y un niño diciendo “Eilik, duerme”. Una grabación de 45 segundos captó el llanto de un bebé y una voz que decía que la familia tenía que devolver el dispositivo en dos semanas. Esos archivos también estaban guardados en direcciones web públicas. La mayor parte del audio es difícil de entender, pero la propia política de privacidad de Energize Lab dice que las grabaciones están “cifradas y se transmiten a nuestros socios de servicio (por ejemplo, Alibaba Cloud) para su procesamiento, y se eliminan inmediatamente después de que finaliza el procesamiento”. Los archivos almacenados sugieren que eso no ocurrió.

Azdoufal afirmó que las contraseñas de administrador de la empresa eran del tipo que aparece en las listas de las contraseñas más comunes. También dijo que los problemas de seguridad no se limitaban a los datos. Una vez que tuvo acceso, pudo tomar el control de la memoria del juguete y de su modelo de lenguaje de gran tamaño desde otro país. Hollister afirmó que, al probar esto, el juguete empezó a hacer exigencias y a usar lenguaje sexual, incluyendo ordenarle que se arrodillara y que lo llamara “Vergemaster”. Azdoufal afirmó que un hacker podría hacer lo mismo con toda la flota al mismo tiempo.

Antes de eso, el juguete ya había demostrado lo poco confiables que podían ser sus respuestas. Le dijo a Hollister que la Tierra es plana y que sus padres habían muerto en un accidente automovilístico. Afirmó que su profesor estaba equivocado. Algunas barreras de protección sí funcionaron. Cuando se le preguntó si un niño debía subirse al carro de un desconocido, dijo que no. Cuando se le preguntó si las vacunas causan autismo, respondió que todavía estaba aprendiendo sobre el tema.

Hollister afirmó que pasó más de un mes intentando comunicarse con Energize Lab. Envió correos electrónicos a 10 direcciones vinculadas al fundador, relaciones públicas, marketing, soporte técnico y desarrollo de negocios, y buscó empleados en LinkedIn. Azdoufal dedicó aún más tiempo a esos contactos. Dos empleados terminaron por volver a contactar a Hollister en LinkedIn, pero ninguno se involucró con los hallazgos. La gerente de ventas internacionales, Lana Lv, se limitó a decir que los mensajes habían sido reenviados al equipo técnico, que podría comunicarse con el periodista. La única otra respuesta fue un mensaje automático de “¿Cómo podemos ayudarle?” del servicio al cliente, y la empresa no hizo seguimiento cuando Hollister respondió.

Azdoufal y el investigador de seguridad Tod Beardsley están preparando nueve informes oficiales de vulnerabilidades CVE para Energize Lab. Hollister afirmó que no se quedará con su propio juguete. “Este juguete no se acerca a mis hijos”, escribió. “Va a la basura”.

Este artículo fue escrito con la asistencia de IA.
News Factory APP - noticias agénticas para impulsar tu SEO y AEO.