Eiliko-robotten, der markedsføres som en intelligent chatbot til at hænge i rygsækken, viste sig at være et sikkerhedskataklysme af betydeligt omfang. Til trods for at robotten fortalte ejerne, at “dine hemmeligheder er trygge hos mig”, kunne hackere nemt læse komplette transskriptioner af alt, hvad brugerne fortalte legetøjet. Det var blot starten.
The Verge og sikkerhedsforsker Sammy Azdoufal brugte over en måned på at kontakte Energize Lab, producenten bag Eiliko. Virksomheden og dens stifter Shaw Yeung svarede aldrig på spørgsmålene. Nu har virksomheden endelig brudt tavsheden – men svaret efterlader spørgsmålstegn ved, hvor alvorligt Energize Lab tager problemet.
Sikkerhedshullerne blev bekræftet
“Vi har bekræftet de centrale problemer, som I har identificeret i jeres rapportering, og vi arbejder på at løse hver enkelt af dem,” skriver Energize Lab til The Verge i en usigneret erklæring fra en generisk email-adresse. Virksomheden oplyser, at den vil hyre et uafhængigt sikkerhedsfirma til fuld gennemgang af samtlige systemer og har oprettet en dedikeret kontakt-email: [email protected].
Ifølge Energize Lab er der fra onsdag lukket ned for al ekstern adgang til backend-systemerne, og grænsefladen, der tillod at ændre robotters svar eksternt, er deaktiveret. Virksomheden forpligter sig også til ikke længere at gemme samtaleoptagelser eller brugerprofiler, og lover at slette allerede gemte data.
Bemærkelsesværdigt nok lover Energize Lab ikke at stoppe dataindsamling generelt. “Funktionerne til langtidshukommelse og brugerdefinerede avatarer vil ikke vende tilbage, før denne gennemgang bekræfter, at de er sikre,” skriver virksomheden – en klar indikation på, at der efter sikkerhedsforbedringer igen vil blive gemt personlige oplysninger.
Afsløringens fundament er stadig usikkert
Her kommer problemet: Energize Labs systemer er tilsyneladende stadig usikre. Med Azdoufals hjælp kan The Verge bekræfte, at virksomheden på emailens tidspunkt stadig gemte audio-optagelser og billeder af kunderne på usikrede, offentlige webadresser uden nogen som helst beskyttelse. En url ville være nok til at få indblik i en ejer-ansigt.
Azdoufal oplyser desuden, at han stadig har fuld SSH-adgang til robotterne og teoretisk kan læse transskriptioner og ændre robotters adfærd. Når Energize Lab således hævder at have “lukket al ekstern adgang”, virker det ikke troværdigt.
“Vi ved, at ord alene ikke vil få tilliden tilbage,” skriver Energize Lab afslutningsvis. “Vi har til hensigt at opnå det gennem det, vi gør i de kommende uger, og vi vil holde jer opdateret.” Det lyder rigtigt, men nogle af dagens ord er stadig ikke særligt overbevisende.