かわいい「デジタルペット」として販売されているロボット「Eiliko」は、話しかけた内容をすべて記録し、中国で運用されているサーバーにアップロードする。セキュリティ研究者は、2026年8月30日の会話の完全な記録を取得し、その後、ほかのユーザーの会話を数百万件含むデータベースにもアクセスした。玩具のアプリでは保存データが暗号化されておらず、メーカーのEnergize Labはコメントの要請に応じていない。
情報流出で明らかになったこと
Sammy Azdoufalと名乗る研究者は、検索可能な全文データベースを発見した。そこには、稼働中のEiliko約68,000台から集められた会話の断片が13 million件以上登録されていた。登録プロフィールの割合が最も大きいのは米国で、そのうち31,000件以上が子どものものだった。データベースにはメールアドレス、IPアドレスから特定できる位置情報、短い音声クリップ、一部ユーザーの暗号化されていない写真も保存されていた。管理者アカウントのパスワードは、よく使われるパスワードのリストに載るほど単純だった。
家族にとっての懸念
ハッカーがアクセスすれば、プライベートな会話を読んで詳細な個人プロフィールを作成できるほか、玩具の言語モデルを乗っ取り、虚偽の内容や有害なことを言わせることもできる。子どもが不適切なコンテンツにさらされたり、フィッシング詐欺に悪用されたりするおそれがある。Energize Labから回答がないため、所有者はデータを保護したり削除したりする明確な手段を得られていない。
なぜ重要か
子どもにEilikoで遊ばせている保護者は、子どもの発話データが海外の安全でないサーバーに保存されていることを知っておく必要がある。情報流出が起きれば、見知らぬ人がプライベートな会話を読んだり、玩具の返答を改ざんしたりする可能性があり、子どもの安全とプライバシーが脅かされる。
