CloudPets: quando le voci dei bambini finiscono in un archivio esposto

Un giocattolo con microfono e connessione cloud non conserva necessariamente le registrazioni soltanto in casa. Nel febbraio 2017 Troy Hunt documentò il caso CloudPets: un database esposto senza autenticazione e registrazioni vocali accessibili attraverso riferimenti ai file.

L'indagine riportava oltre due milioni di registrazioni e centinaia di migliaia di account. Le password erano conservate come hash bcrypt, non tutte in chiaro; password deboli rimanevano comunque vulnerabili a tentativi di recupero. Dire semplicemente «server senza firewall» non descriveva il problema di controllo degli accessi.

Il rischio qui riguarda riservatezza, raccolta e conservazione dei dati dei minori. Non è una prova di un danno sanitario causato da Wi-Fi o telefoni.

Prima di comprare un giocattolo connesso, verificare quali dati registra, dove li invia, come si cancellano e per quanto tempo riceverà aggiornamenti. Se la funzione cloud non serve, preferire un prodotto che ne faccia a meno. Usare password uniche limita almeno gli effetti del riutilizzo delle credenziali dopo una violazione.

Fonti e verifica

• Troy Hunt: indagine originale su CloudPets