Robots Eiliko piratés : 13 millions de conversations exposées
Le chercheur en cybersécurité Sammy Azdufal affirme avoir obtenu l’accès au réseau des robots Eiliko, fabriqués par l’entreprise Energize Lab. C’est ce que rapporte The Verge. Outre la consultation d’un volume considérable de conversations, le chercheur a réussi à modifier le comportement des appareils d’une manière que le fabricant n’avait pas prévue.
La faille concerne environ 68 000 robots, vraisemblablement la totalité des Eiliko livrés par Energize Lab. Le chercheur a pu accéder à 13 millions de conversations entre les propriétaires et leurs appareils. La plupart des robots ont été vendus aux États-Unis, et près de la moitié des profils d’utilisateurs, soit 31 000, appartiennent à des enfants.
Le service fondé sur l’intelligence artificielle analysait les échanges entre les personnes et les robots pour établir des fiches détaillées. Y figuraient le nom, l’âge, la date de naissance, la profession, la situation familiale et des traits de personnalité. Selon Azdufal, ces données étaient conservées avec des adresses e-mail, des adresses IP et une base de recherche des conversations. Le système stockait en outre des photographies des utilisateurs, y compris celles d’enfants.
Les descriptions de personnalité étaient très poussées. Une employée du service client de 52 ans, prénommée Lucy, était décrite dans le système comme gentille, serviable, travailleuse et attachée à l’amitié et à la confiance. Il y était aussi indiqué qu’elle a du mal à faire confiance à sa famille et qu’elle se sent actuellement isolée. La fuite de telles informations peut avoir de lourdes conséquences pour les propriétaires.
Les vulnérabilités ont également permis au chercheur de modifier à distance la mémoire d’un robot concernant son propriétaire. L’expérience s’est déroulée dans un cadre contrôlé, et le propriétaire avait été prévenu à l’avance. Azdufal a néanmoins fait appeler le propriétaire par le robot pour lui annoncer que ses parents étaient morts dans un accident de voiture. Une véritable attaque reposant sur un tel scénario pourrait provoquer un grave traumatisme psychologique.
Les journalistes de The Verge ont tenté pendant plus d’un mois de joindre Energize Lab. Ils ont envoyé des demandes à 10 adresses e-mail liées au fondateur et à plusieurs services, et ont écrit à des employés sur LinkedIn. Azdufal lui-même a cherché à obtenir une réponse encore plus longtemps. L’entreprise n’a pour l’instant réagi ni aux signalements du chercheur ni aux sollicitations de la rédaction.