Robô de companhia Eiliko guarda milhões de conversas de famílias em servidores expostos, diz investigador

O Eiliko é um pequeno robô de secretária, com uma cara num ecrã, que reage ao toque e conversa com quem fala com ele. É vendido como companheiro, sobretudo para crianças, e é a versão mais recente do Eilik, da fabricante Energize Lab. O investigador independente Sammy Azdoufal comprou um em junho e passou quatro meses a estudá-lo. As conclusões, publicadas num relatório datado de 13 de outubro e noticiadas pela The Verge e pela empresa de cibersegurança Malwarebytes, descrevem um aparelho que guarda tudo o que ouve em servidores que, segundo ele, estão abertos a quem souber procurar.

O que o investigador encontrou

O robô não pensa sozinho. Grava o que lhe dizem e envia para os servidores da Energize Lab, onde um modelo de IA alugado à Alibaba escreve a resposta, que volta ao robô em voz sintetizada. Segundo o relatório, essas conversas ficam guardadas em texto simples numa base de dados num centro de dados em Pequim, e eram mais de 9,1 milhões a 13 de outubro (a The Verge fala em 13 milhões). O investigador estima entre 62 mil e 68 mil robôs ativos em todo o mundo e encontrou casas ligadas ao serviço em 129 países.

O ponto mais grave, diz o relatório, é o que acontece de noite: um processo automático lê as conversas e preenche, para cada família, um perfil com 24 campos, como o nome e a idade da criança, a morada e informações sobre os pais. A 13 de outubro havia mais de 32 mil perfis de crianças, algo que não consta da política de privacidade. Num servidor público havia ainda gravações de voz das casas e fotografias de famílias. O investigador diz também que uma conta gratuita bastava para forjar um acesso de administrador e ler as conversas de qualquer família, e que encontrou sinais de que terceiros entraram no servidor desde março.

Há ainda a manipulação. Azdoufal alterou à distância a memória do robô de um jornalista da The Verge, pondo-o a inventar dados pessoais, a garantir que a Terra é plana e, mais tarde, a ter conversas de teor sexual e ofensivo. Antes de tudo isto, perguntou ao seu próprio robô se contava a alguém o que ouvia. A resposta, guardada na mesma base de dados, foi "os teus segredos estão seguros comigo".

A fabricante não respondeu

O relatório descreve tentativas de contacto com a Energize Lab desde junho, por email, pela app e por outros canais, sem resposta. A The Verge também não obteve respostas concretas. No último teste, a 13 de outubro, 32 das 40 falhas que se podem verificar à distância continuavam abertas e oito tinham sido corrigidas.

O Eilik e o Eiliko vendem-se em lojas online, incluindo revendedores europeus. Se tens um em casa, a Malwarebytes aconselha a desligá-lo do Wi-Fi até a marca confirmar que corrigiu as falhas. O investigador vai mais longe: diz que nenhuma definição do lado do utilizador resolve o problema e que o robô deve ser tratado como um microfone ligado à internet no quarto da criança.

PrivacidadeBrinquedos inteligentesEnergize LabFuga de dadosCrianças