Internet-verbundener Teddybär:
Daten durchgesickert, Nutzer erpresst

Erst vor kurzem gab es Diskussionen um eine smarte Spielzeugpuppe namens "My friend Cayla", diese wurde von der Bundesnetzagentur als "verbotene Sendeanlage" klassifiziert, die Besitzer zerstören müssten. Das hat bei einigen aber Unverständnis ausgelöst. Nun zeigt der Fall eines IoT-Teddybären, dass "smartes" Spielzeug wohl doch keine so gute Idee ist. Der Fall Cayla hat in Deutschland zuletzt einige Diskussionen zur Folge gehabt, auch der Hersteller will sich juristisch gegen die Entscheidung der Bundesnetzagentur zur Wehr setzen. Doch Kritiker werden sich derzeit bestätigt sehen, denn der Sicherheitsexperte Troy Hunt, der u. a. für seine Seite Have I Been Pwned? bekannt ist, hat einen besonders spektakulären Fall von Datenmissbrauch im Zusammenhang mit einem Internet-verbundenen Spielzeug aufgedeckt (via Motherboard).

Zwei Millionen Sprachaufnahmen

Hunt schreibt in einem Blogbeitrag, dass einem IoT-Teddybär-Hersteller namens Spiral Toys zwei Millionen Sprachaufnahmen von Eltern und Kindern sowie rund 800.000 Kontodaten inklusive E-Mails und Passwörtern entwischt sind. Die Daten waren in einer völlig ungeschützten Datenbank abrufbar. So wirbt der Hersteller für seine Stofftiere - große Augen werden aber vor allem die vom Datenleck Betroffenen machen Und diese Daten wurden laut Hunt zwischen 25. Dezember und 8. Januar auch mehrfach von Unbekannten abgerufen. Diese Daten wurden von den Kriminellen dann dafür eingesetzt, Betroffene zu erpressen. Grundsätzlich erlauben CloudPets-Stofftiere von Spiral Toys es Eltern und ihren Kindern, über das Internet Sprachnachrichten auszutauschen.

Schlimmer noch: Laut dem Sicherheitsforscher wurde der Hersteller mindestens vier Mal erfolglos auf die Schwachstelle aufmerksam gemacht. Deshalb liegt der Verdacht nahe, dass die Sache vertuscht werden sollte.

Umfangreiche Daten

Die Lücke war mehr als signifikant: Denn Spiral Toys hat einen Amazon-basierten Dienst, der keine Autorisierung erfordert, verwendet. Dort waren nicht nur die Sprachaufnahmen, sondern auch die Profilbilder der Kunden, die Namen ihrer Kinder und die Verwandtschaftsverhältnisse gespeichert und eben frei abrufbar.

Siehe auch: Smarte Puppe Cayla ist "verbotene Sendeanlage", muss zerstört werden