De Eiliko-robot, verkocht als een schattig ‘digitaal huisdier’, neemt alles op wat je zegt en uploadt het naar servers in China. Een beveiligingsonderzoeker kon het volledige transcript ophalen van een gesprek dat op August 30, 2026 plaatsvond. Later kreeg die ook toegang tot een database met gesprekken van miljoenen andere gebruikers. De app van het speelgoed versleutelt de opgeslagen gegevens niet. Het bedrijf, Energize Lab, heeft niet gereageerd op verzoeken om commentaar.
Wat de datalekken aan het licht brachten
De onderzoeker, die de naam Sammy Azdoufal gebruikt, ontdekte een doorzoekbare database met volledige teksten en meer dan 13 million gespreksfragmenten van ongeveer 68 000 actieve Eiliko-apparaten. De Verenigde Staten zijn goed voor het grootste deel van de profielen; meer dan 31 000 daarvan zijn van kinderen. De database bevat ook e-mailadressen, IP-locaties, korte audiofragmenten en zelfs onversleutelde foto's van sommige gebruikers. De wachtwoorden voor beheerdersaccounts waren zo eenvoudig dat ze op lijsten met veelgebruikte wachtwoorden stonden.
Waarom dit gezinnen raakt
Als een hacker toegang krijgt, kan die privégesprekken lezen, gedetailleerde persoonlijke profielen opstellen en zelfs het taalmodel van het speelgoed kapen om het onjuiste of schadelijke dingen te laten zeggen. Zo kunnen kinderen worden blootgesteld aan ongepaste inhoud, of kan de informatie worden gebruikt voor phishing. Doordat Energize Lab niet heeft gereageerd, weten eigenaren niet goed hoe ze hun gegevens kunnen beschermen of verwijderen.
Waarom het ertoe doet
Ouders die hun kinderen met Eiliko laten spelen, moeten weten dat hun gesproken gegevens op slecht beveiligde servers in het buitenland worden opgeslagen. Bij een datalek kunnen onbekenden privégesprekken lezen of de reacties van het speelgoed aanpassen, met risico's voor de veiligheid en privacy van kinderen.
