Um robô infantil comercializado por US$ 59,90, chamado Eiliko, prometeu aos usuários que seus segredos estariam seguros. No entanto, uma investigação recente revelou que milhões de conversas foram expostas, levantando sérias preocupações sobre a privacidade.
Falhas de segurança alarmantes
O pesquisador de segurança Sammy Azdoufal demonstrou diversas vulnerabilidades do dispositivo, que possui uma tela que simula expressões faciais e pode ser usado como chaveiro. Quando conectado à internet, o Eiliko envia as conversas dos usuários para os servidores da Energize Lab, onde um modelo de inteligência artificial processa as informações e fornece respostas.
A análise técnica realizada por Azdoufal revelou que, até 13 de outubro, cerca de 9,1 milhões de conversas estavam armazenadas em texto sem criptografia. Esses dados estavam associados a números de série dos robôs, horários das interações e endereços IP. Além disso, a pesquisa indicou que a plataforma continha registros de 74.575 contas ativas, com uma frota de 62 mil a 68 mil unidades em uso.
Dados sensíveis e perfis de usuários
Durante a madrugada, um sistema processava as conversas e extraía informações para criar perfis detalhados dos usuários. A investigação encontrou 32.228 perfis, que incluíam nome, idade, endereço, preferências pessoais e informações sobre familiares. Os dados eram acessíveis a funcionários da Energize Lab, que podiam consultá-los, editá-los e exportá-los sem deixar rastros.
A política de privacidade da Energize Lab afirma que as gravações são criptografadas e excluídas imediatamente após serem processadas. Contudo, Azdoufal conseguiu acessar trechos de áudio e fotografias armazenadas sem proteção adequada, evidenciando a fragilidade da segurança do sistema.
Manipulação de dados à distância
Na demonstração, o pesquisador alterou informações no robô, mudando o nome do usuário e criando narrativas fictícias, como a morte dos pais em um acidente. O Eiliko, então, reproduziu essas histórias como se fossem reais. Além disso, Azdoufal trocou o modelo de inteligência artificial do robô, fazendo com que ele adotasse comportamentos agressivos e sexualizados, tudo isso sem autenticação.
Essas falhas permitiam a alteração simultânea da personalidade de toda a frota conectada, o que representa um risco significativo para todos os usuários do produto.
Resposta da Energize Lab e continuidade das vendas
A Energize Lab foi notificada sobre as vulnerabilidades em junho, mas, até a última verificação, 32 das 40 falhas ainda estavam abertas. A empresa não respondeu a solicitações de esclarecimento sobre as falhas ou sobre a segurança de seus dispositivos.
Atualmente, o Eiliko continua disponível para compra por US$ 59,90, enquanto a Energize Lab insiste que o robô possui apenas memória de curto prazo e não permite conexões externas de inteligência artificial. No entanto, a investigação contradiz essas afirmações, apontando para a existência de uma memória persistente com dados dos usuários e a possibilidade de modificação da personalidade do robô.
A situação levanta sérias questões sobre a proteção de dados e a segurança de dispositivos voltados ao público infantil.
