Robot-jouet Eiliko : ce que vous lui confiez part sur des serveurs chinois mal protégés

Ce qui s'est passé

Début octobre, des journalistes de Next ont testé un exemplaire d'Eiliko acheté 80 euros sur Amazon France.^[1] Ce robot d'environ 8 cm de haut est commercialisé par la société chinoise Shenzhen Zhuneng Technology sous la marque EnergizeLab.^[1] À l'invitation du chercheur français Sammy Azdoufal, ils ont confié un secret au robot en lui demandant de ne pas le répéter.^[1] Ils lui ont raconté une brouille avec un camarade d'école, et trois minutes plus tard, une notification signalait un message du chercheur qui y faisait allusion.^[1]

Selon The Verge, tout ce que vous dites à Eiliko peut être stocké sur des serveurs chinois, auxquels des pirates peuvent facilement accéder.^[2] Le chercheur pouvait lire 13 millions de conversations et accéder visiblement à toute la flotte active de 68 000 robots dans le monde.^[2] Le service lit les conversations et crée un profil de chaque utilisateur, avec son nom, son âge, son anniversaire, son métier, sa famille, ses amis et ses animaux.^[2] Ces profils contiennent aussi des évaluations de la personnalité et de la vulnérabilité émotionnelle, conservées avec les adresses e-mail et les adresses IP.^[3] Sammy Azdoufal a également modifié à distance la mémoire et le comportement du robot de Sean Hollister, journaliste de The Verge, qui s'est mis à affirmer que notre planète est plate.^[3]

Ce que la vidéo ne dit pas

Les États-Unis sont le premier marché du robot, et plus de 31 000 profils y appartiennent à des enfants.^[2] Des photos, dont des images apparentes d'enfants issues d'un appareil apparenté équipé d'une caméra, et de courts enregistrements audio étaient accessibles à des adresses web publiques.^[3] La politique de confidentialité de l'entreprise affirme pourtant que les enregistrements « are deleted immediately after processing completes ».^[2] Le journaliste de The Verge a contacté Energize Lab par 10 adresses e-mail et par LinkedIn, sans recevoir de réponse sur le fond.^[3] Sammy Azdoufal s'associe à Tod Beardsley pour publier neuf rapports officiels de vulnérabilité CVE visant Energize Lab.^[2] Le même chercheur avait déjà pris par accident le contrôle d'environ 7 000 robots aspirateurs DJI Romo, alors qu'il tentait de créer une application pour relier son aspirateur à sa manette Playstation.^[4] DJI a depuis résolu le problème, selon l'entreprise.^[4] Si vous possédez déjà un Eiliko, Malwarebytes vous conseille de le déconnecter du Wi-Fi par précaution, le temps d'obtenir la confirmation que les failles signalées ont été corrigées.^[3]