Um grave incidente de segurança foi revelado na Bondu, fabricante de brinquedos equipados com Inteligência Artificial. Os especialistas Joseph Thacker e Joel Margolis descobriram que o portal web da empresa estava vulnerável, deixando expostas mais de 50 mil transcrições de conversas entre crianças e seus brinquedos.
Como a Falha Funcionava
A vulnerabilidade permitia que qualquer usuário com uma conta Gmail acessasse um sistema interno que deveria ser restrito. Através dessa brecha, dados sensíveis ficaram desprotegidos, incluindo:
- Nomes completos e datas de nascimento.
- Nomes de familiares e apelidos dos brinquedos.
- Histórico completo de diálogos privados.
Os brinquedos da Bondu são dinossauros de pelúcia que funcionam como “amigos imaginários” interativos. Para manter a continuidade das conversas, o sistema armazena as falas das crianças, permitindo que a IA “lembre” de detalhes compartilhados anteriormente.
Resposta e Correção
Ao ser notificada, a Bondu agiu rapidamente:
- Desativação: O portal foi tirado do ar em minutos.
- Correção: O site foi relançado no dia seguinte com autenticação robusta.
- Monitoramento: Uma empresa externa de segurança foi contratada para validar os sistemas.
O CEO da empresa, Fateen Anam Rafid, afirmou que não foram encontrados indícios de que os dados tenham sido acessados por terceiros além dos pesquisadores. Ele ressaltou que a empresa utiliza versões empresariais do Gemini (Google) e GPT-5 (OpenAI), que, por contrato, não devem usar esses dados para treinamento de modelos.
O Perigo dos Dados Expostos
Apesar da correção rápida, especialistas alertam para o risco extremo. Joel Margolis descreveu o cenário como “o sonho de um sequestrador”, já que as informações permitiriam a criação de perfis detalhados sobre a rotina, medos e preferências das crianças, facilitando manipulações perigosas.
Há ainda a suspeita de que a falha tenha sido originada pelo uso de IA na escrita do código do portal, prática que pode gerar brechas de segurança se não houver supervisão humana rigorosa.
