Le robot Eiliko, vendu comme un adorable « animal de compagnie numérique », enregistre tout ce que vous lui dites et l’envoie sur des serveurs exploités en Chine. Un chercheur en sécurité a pu récupérer la transcription intégrale d’une conversation datant du 30 août 2026, puis accéder à une base de données contenant des millions d’autres échanges. L’application du jouet ne chiffre pas les données stockées, et l’entreprise Energize Lab n’a pas répondu aux demandes de commentaires.
Ce que la faille a révélé
Le chercheur, qui se fait appeler Sammy Azdoufal, a découvert une base de données consultable en texte intégral, contenant plus de 13 millions d’extraits de conversations provenant d’environ 68 000 Eiliko actifs. Les États-Unis comptent le plus grand nombre de profils, dont plus de 31 000 appartiennent à des enfants. La base contient également des adresses e-mail, des données de localisation associées aux adresses IP, de courts extraits audio et même des photos non chiffrées de certains utilisateurs. Les mots de passe des comptes administrateur étaient assez simples pour figurer dans des listes de mots de passe courants.
Pourquoi les familles sont concernées
Si un pirate accède à ces données, il peut lire des conversations privées, dresser des profils personnels détaillés et même détourner le modèle de langage du jouet pour lui faire dire des choses fausses ou nuisibles. Cela pourrait exposer les enfants à des contenus inappropriés ou servir à des tentatives d’hameçonnage. Faute de réponse d’Energize Lab, les propriétaires ne savent pas clairement comment protéger ou supprimer leurs données.
Pourquoi c'est important
Les parents dont les enfants jouent avec Eiliko doivent savoir que les propos de ces derniers sont enregistrés sur des serveurs non sécurisés à l’étranger. Une fuite pourrait permettre à des inconnus de lire des conversations privées ou de modifier les réponses du jouet, ce qui fait peser des risques sur la sécurité et la vie privée des enfants.
