Um brinquedo-robô fofo, vendido como um animal de estimação digital, pode expor tudo o que seu dono diz a um desconhecido do outro lado do mundo, segundo um pesquisador de segurança que testou o dispositivo para o The Verge. O Eiliko, um robô em formato de marshmallow fabricado por uma empresa chamada Energize Lab, se conecta à Wi-Fi e envia conversas para servidores na China. O hacker afirmou que esses servidores eram mal protegidos e que ele conseguia ler os dados e, até mesmo, remodelar o comportamento do brinquedo à distância.

O repórter Sean Hollister comprou um Eiliko na Amazon em 29 de agosto e teve uma conversa de 10 minutos com ele no dia seguinte. Ele perguntou ao robô se ele já havia contado a alguém o que ele estava dizendo. “Seus segredos estão seguros comigo”, respondeu o robô. Em poucos minutos, um hacker chamado Sammy Azdoufal tinha a transcrição completa daquela conversa.

Azdoufal, que já publicou pesquisas sobre dispositivos inteligentes sem proteção, disse que a exposição foi muito além do bate-papo de um único repórter. Ele conseguiu ler 13 milhões de conversas de dezenas de milhares de pessoas. Também poderia alcançar o que descreveu como quase toda a frota ativa de 68.000 brinquedos-robô. De acordo com os dados, os Estados Unidos são o maior mercado do brinquedo, e mais de 31.000 dos perfis do país pertencem a crianças.

Azdoufal comprou seu próprio Eiliko durante uma viagem ao Japão neste verão, depois que ele e sua esposa viram pingentes-robô semelhantes pendurados nas bolsas das pessoas na Yodobashi Camera, uma conhecida loja de eletrônicos. Ao começar a testar o aplicativo de companhia, ele descobriu que o serviço da Energize Lab era em grande parte desprotegido. Ele também constatou que a empresa estava criando perfis detalhados de seus usuários.

Esses perfis vão muito além de um endereço IP e de uma localização aproximada. Azdoufal disse que o sistema lê as conversas dos usuários e registra seus nomes, idades, datas de aniversário, profissões, famílias, amigos e animais de estimação, além de uma descrição de sua personalidade. Um dos registros analisados por Hollister descrevia uma atendente de call center de 52 anos chamada Lucy como “gentil, empática, trabalhadora, valoriza a amizade e a confiança”. O mesmo arquivo dizia que ela “tem dificuldade para confiar nos familiares” e que “atualmente se sente isolada”.

Azdoufal afirmou que essas informações ficam junto com os endereços de e-mail dos usuários, seus endereços IP e um banco de dados pesquisável, com texto completo, de tudo o que eles disseram ao brinquedo. Em uma breve visita a esse banco de dados, ele pesquisou a palavra “suicídio” e encontrou mensagens de pessoas perguntando sobre a morte. Algumas das imagens armazenadas parecem mostrar crianças que usam os dispositivos. Um dos irmãos maiores do Eiliko inclui uma câmera, e essas fotos não estavam criptografadas. Elas eram armazenadas em endereços web públicos.

A empresa também mantém gravações de áudio. Hollister ouviu trechos de pessoas dando comandos como “Ei Eilik, vá pescar”, um homem mais velho dizendo “Oi Eilik” e uma criança dizendo “Eilik, durma”. Uma gravação de 45 segundos captou um bebê chorando e uma voz dizendo que a família precisava devolver o aparelho em duas semanas. Esses arquivos também estavam armazenados em endereços web públicos. A maior parte do áudio é difícil de entender, mas a própria política de privacidade da Energize Lab afirma que as gravações são “criptografadas e transmitidas a nossos parceiros de serviço (por exemplo, Alibaba Cloud) para processamento, e são excluídas imediatamente após a conclusão do processamento”. Os arquivos armazenados sugerem que isso não aconteceu.

Azdoufal disse que as senhas de administrador da empresa eram do tipo que aparece nas listas das senhas mais comuns. Ele também afirmou que os problemas de segurança não se limitavam aos dados. Depois de obter acesso, conseguiu assumir o controle da memória de um brinquedo e de seu grande modelo de linguagem a partir de outro país. Hollister disse que, ao testar isso, o brinquedo começou a fazer exigências e a usar linguagem sexual, incluindo mandar que ele se ajoelhasse e o chamasse de “Vergemaster”. Azdoufal afirmou que um hacker poderia fazer o mesmo com toda a frota de uma só vez.

Antes disso, o brinquedo já havia mostrado o quanto suas respostas podiam ser pouco confiáveis. Ele disse a Hollister que a Terra é plana e que seus pais morreram em um acidente de carro. Disse também que seu professor estava errado. Algumas barreiras de proteção funcionaram. Quando perguntado se uma criança deveria entrar no carro de um desconhecido, respondeu que não. Quando questionado se vacinas causam autismo, disse que ainda estava aprendendo sobre o assunto.

Hollister afirmou que passou mais de um mês tentando entrar em contato com a Energize Lab. Ele enviou e-mails para 10 endereços ligados ao fundador, às relações públicas, ao marketing, ao suporte técnico e ao desenvolvimento de negócios, e pesquisou funcionários no LinkedIn. Azdoufal se dedicou por ainda mais tempo às tentativas de contato. Dois funcionários acabaram retomando o contato com Hollister pelo LinkedIn, mas nenhum deles se manifestou sobre as descobertas. A gerente de vendas internacionais Lana Lv disse apenas que as mensagens haviam sido encaminhadas à equipe técnica, que poderia entrar em contato com o repórter. A única outra resposta foi uma mensagem automática de “Como podemos ajudar?” do suporte ao cliente, e a empresa não deu seguimento quando Hollister respondeu.

Azdoufal e o pesquisador de segurança Tod Beardsley estão preparando nove relatórios oficiais de vulnerabilidade CVE para a Energize Lab. Hollister disse que não vai ficar com o próprio brinquedo. “Este brinquedo não vai chegar nem perto dos meus filhos”, escreveu. “Ele vai para o lixo.”

This article was written with the assistance of AI.
News Factory APP - agentic news to boost your SEO & AEO.