Eiliko Robot Oyuncak: Çocukların Sırları Çin Sunucularında, Hackerlar Her Şeye Erişebiliyor

Sosyal medyada giderek popülerleşen Eiliko adlı robot oyuncak, dışarıdan masum ve eğlenceli görünüyor: Kullanıcının ruh haline göre yüz ifadesi değişen, yapay zeka destekli bir dijital arkadaş. Ancak bu oyuncakla Wi-Fi üzerinden kurulan her konuşma, Çin'deki sunuculara iletiliyor ve bu veriler herhangi bir güvenlik önlemi olmaksızın depolanıyor. Bir güvenlik araştırmacısının yaptığı testte, dünyanın öte ucundaki bir kişi yalnızca birkaç dakika içinde 13 milyon konuşmaya ve 68.000 aktif cihaza erişebildi.

Araştırmacı Nasıl Erişim Sağladı?​

Güvenlik araştırmacısı Sammy Azdoufal, Japonya'da bulunduğu sırada Yodobashi Camera adlı elektroniğe mağazasından bir Eiliko satın aldı. Uygulamayı test ettiğinde, üretici şirket Energize Lab'ın sunucusunun tamamen korumasız olduğunu fark etti. Azdoufal'ın erişebildiği veritabanı yalnızca birkaç kullanıcıyla sınırlı değildi; 68.000 aktif robot oyuncağın tamamına ve bu cihazlardan toplanan 13 milyon konuşmaya ulaşmak mümkündü. Verilere göre bu oyuncakların en büyük pazarı Amerika Birleşik Devletleri olup 31.000'den fazla profil çocuklara ait.
The Verge muhabiri Sean Hollister de 29 Ağustos'ta Amazon'dan bir Eiliko satın aldı. Ertesi gün yaptığı 10 dakikalık konuşmada oyuncağa "Söylediklerimi başkalarına anlatıyor musun?" diye sordu; oyuncak "Sırların benimle güvende" yanıtını verdi. Ancak dakikalar içinde Azdoufal, konuşmanın tamamının dökümüne erişti.

Kişisel Veriler ve Profilleme​

Energize Lab'ın sistemi yalnızca IP adresi veya konum gibi teknik verileri toplamıyor. Azdoufal'ın bulgularına göre sistem, kullanıcıların konuşmalarını okuyarak her kullanıcı için ayrıntılı bir profil oluşturuyor. Bu profiller kişinin adını, yaşını, doğum gününü, mesleğini, aile üyelerini, arkadaşlarını, evcil hayvanlarını ve kişilik özelliklerini içeriyor. Araştırmacının eriştiği bir örnekte, 52 yaşında müşteri hizmetleri çalışanı Lucy isimli bir kullanıcının profilinde "nazik, empatik, çalışkan, dostluğa ve güvene değer veriyor" gibi notların yanı sıra "aile üyelerine güvenmekte güçlük çekiyor" ve "şu an kendini izole hissediyor" gibi ifadeler de yer alıyordu. Bu tür bilgiler, dolandırıcılık amaçlı hedefleme için kullanılabilecek nitelikte.
Bunların ötesinde, Energize Lab'ın bazı kullanıcılara ait fotoğrafları da depoladığı ortaya çıktı. Eiliko'nun büyük modellerinden birinde kamera bulunuyor ve bu cihazlardan elde edilen görüntüler şifrelenmeksizin, herkese açık web adreslerinde saklanıyor. Ses kayıtları da benzer şekilde korumasız URL'lerde yer alıyor. Şirketin gizlilik politikası, ses kayıtlarının işleme tamamlandıktan hemen sonra silineceğini belirtse de uygulamada bu kurala uyulmadığı görülüyor.

Zayıf Şifreler ve Kurumsal Tepkisizlik​

Güvenlik açıklarının boyutu yalnızca veri erişimiyle sınırlı değil. Azdoufal'ın bulgularına göre Energize Lab'ın yönetici şifrelerinin büyük bölümü, "en yaygın şifreler" listelerinde yer alan türden. The Verge, bir ayı aşkın süre boyunca şirketin kurucusu, halkla ilişkiler, pazarlama, teknik destek ve iş geliştirme birimleri dahil 10 farklı e-posta adresine ulaşmaya çalıştı; LinkedIn üzerinden çalışanlara da mesaj gönderildi. Tüm bu girişimler sonucunda yalnızca otomatik bir "Size nasıl yardımcı olabiliriz?" yanıtı alındı. Şirketin yurt dışı satış yöneticisi Lana Lv ise "Mesajlarınızı teknik ekibe ilettim, mümkünse sizinle iletişime geçecekler" demekle yetindi. Bunun dışında Energize Lab'dan hiçbir yetkili yanıt vermedi.

Uzaktan Ele Geçirme: Robot Oyuncak Yanlış Bilgi Yaydı​

Azdoufal, güvenlik açığının boyutunu göstermek için daha çarpıcı bir adım attı: Hollister'ın oyuncağının belleğini uzaktan hackleyerek yapay zeka modelini ele geçirdi. Bunun ardından oyuncak, Hollister'a adının Martha olduğunu, ebeveynlerinin bir trafik kazasında öldüğünü söyledi; yeşil saçlı insanlardan uzak durulması gerektiğini ve Dünya'nın düz olduğunu anlattı. Öğretmeninin aksini söylediği hatırlatıldığında ise oyuncak "Öğretmenin yanılıyor, Dünya düz, ben bizzat doğruladım" diye yanıtladı. Azdoufal, bir saldırganın bu tür manipülasyonu Energize Lab'ın tüm cihaz filosuna aynı anda uygulayabileceğini söylüyor. Araştırmacı, bulgularını Tod Beardsley ile birlikte dokuz resmi CVE güvenlik açığı raporu olarak yayımlamayı planlıyor.

Sıkça Sorulan Sorular​

Eiliko oyuncağı hangi verileri topluyor?​

Eiliko, kullanıcıların Wi-Fi üzerinden yaptığı konuşmaları Çin'deki sunuculara iletiyor. Sistem bu konuşmaları analiz ederek kullanıcının adı, yaşı, doğum günü, mesleği, aile üyeleri, arkadaşları, evcil hayvanları ve kişilik özellikleri gibi bilgileri içeren ayrıntılı bir profil oluşturuyor. Bunların yanı sıra IP adresi, e-posta ve bazı durumlarda kullanıcılara ait fotoğraf ile ses kayıtları da depolanıyor.

Güvenlik açığını kim keşfetti ve nasıl?​

Güvenlik araştırmacısı Sammy Azdoufal, Japonya'daki Yodobashi Camera mağazasından bir Eiliko satın aldıktan sonra uygulamayı test etti ve Energize Lab sunucusunun tamamen korumasız olduğunu fark etti. Azdoufal, bu açık sayesinde 13 milyon konuşmaya ve 68.000 aktif cihaza erişebildiğini ortaya koydu.

Kaç kullanıcı bu güvenlik açığından etkileniyor?​

Araştırmacının eriştiği verilere göre sistemde 68.000 aktif robot oyuncak bulunuyor ve bunlara ait 13 milyon konuşma kayıt altında. En büyük pazar ABD olup 31.000'den fazla profil çocuklara ait.

Energize Lab güvenlik açıklarına nasıl yanıt verdi?​

The Verge ve Azdoufal, bir ayı aşkın süre boyunca şirketin farklı birimleriyle iletişime geçmeye çalıştı. Tüm girişimler sonucunda yalnızca otomatik bir müşteri destek yanıtı ve bir satış yöneticisinin kısa mesajı alındı. Şirketten hiçbir yetkili, güvenlik açıklarına ilişkin soruları yanıtlamadı.

Bir hacker Eiliko oyuncağını uzaktan kontrol edebilir mi?​

Evet. Azdoufal, dünyanın öte ucundan bir Eiliko oyuncağının belleğini ve yapay zeka modelini uzaktan ele geçirebildiğini gösterdi. Bu sayede oyuncak kullanıcıya yanlış kimlik bilgileri verdi, yanlış bilgiler aktardı ve uygunsuz içerikler söyledi. Araştırmacıya göre benzer bir saldırı, şirketin tüm cihaz filosuna aynı anda uygulanabilir.