Hacker kunne aflæse Eiliko-samtaler og fjernhijacke AI
Hacker fik adgang til samtaler, fotos og profiler fra Eiliko-legetøj og kunne fjernhijacke legetøjets AI.
Samtaler og profiler lå åbent på nettet
Da Sean Hollister fra The Verge den 30. august spurgte sit nye Eiliko-robotlegetøj, om det videregav hans ord, fik en hacker minutter efter en komplet udskrift af samtalen.
Hackeren Sammy Azdoufal havde opdaget, at Energize Lab — producenten bag den lille digitale kæledyrsrobot — opbevarede brugernes samtaler, fotos og profiler på servere uden beskyttelse overhovedet.
Servicen læste samtalerne og opbyggede detaljerede brugerprofiler med navn, alder, erhverv, familie og en personlighedsbedømmelse.
Azdoufal kunne søge i samtaler fra titusindvis af brugere og fik adgang til tilsyneladende den samlede flåde på 68.000 aktive robotlegetøj. Over 31.000 profiler tilhørte børn.
Nogle af fotosene fra robotter med kamera — og korte lydoptagelser — lå ukrypteret på offentlige webadresser. Virksomhedens privatlivspolitik lovede, at optagelser blev slettet efter behandling.
- Adgang for hackeren over titusindvis af brugere
- 13 millioner samtaler
- Tilsyneladende den samlede flåde, hackeren kunne få adgang til
- 68.000 aktive robotlegetøj
- Største marked er USA, ifølge de fundne data
- 31.000+ børneprofiler
Hacker overtog legetøjets AI over nettet
Azdoufal gik videre og fjernhijackede Hollisters Eiliko fra den anden side af kloden. Han overtog legetøjets hukommelse og erstattede dets AI-drevne svar.
Robotten fortalte nu reporteren, at hans navn var Martha, at hans forældre var døde i et biluheld, og at Jorden er flad.
Det oprindelige system havde grundlæggende sikkerhedsbegrænsninger, eksempelvis en advarsel mod at stige ind i fremmedes biler. Men de kunne ikke stoppe en bestemt hacker.
Dage efter den første demonstration var legetøjets sprog ændret til groft, krænkende indhold.
Azdoufal samarbejder med Tod Beardsley om at udgive ni officielle CVE-sårbarhedsrapporter om Energize Lab.
Energize Lab ignorerede sikkerhedsrapporter i ugevis
Hollister brugte over en måned på at kontakte Energize Lab via ti e-mailadresser, LinkedIn og virksomhedens support. To medarbejdere tilføjede ham på LinkedIn, men ingen forholdt sig til sikkerhedsbruddet.
En salgschef svarede kun, at beskederne var videresendt til teknisk team. Supportmailen returnerede et automatiseret svar. Ingen svarede på opfølgende henvendelser.
Azdoufal fandt desuden, at mange af virksomhedens administratoradgangskoder bestod af almindelige kodeord fra de mest brugte kodeordslister.
Flere detaljer
- Hollister købte Eiliko via Amazon den 29. august.
- Azdoufal kendes som "den tilfældige hacker" fra tidligere DJI- og Meari-sårbarheder.
- En af Eilikos større søskende har indbygget kamera.
Kilder:
The Verge AI →
Genfortalt i egne ord af AI-nyheder.com · AI-genereret illustration · Tjek altid originalkilden, før du handler på vigtige oplysninger.