设为首页 | 加入收藏 您好! 欢迎来到广州市空间地理信息与物联网促进会!
促进会简介
新闻动态
您当前的位置:首页 >> 产业资讯
好玩也要小心!物联网玩具的安全风险 美国联邦调查局(FBI)发出物联网玩具安全公告
( 2017-3-20 )




以下这篇文章是由美国联邦调查局(FBI)对媒体发出,关于物联网玩具在安全问题方面的公告注意事项。虽然文章环境是在美国,但仍值得国内读者参考;同时,在选购技术结构类似的物联网产品时,这些建议原则也一样适用。

因为是美国政府公报的关系,所以语句多少有点“官式”;我们在翻译过程中已经在不损及原意的前提下予以软化,如果有任何问题的话请参阅原文。其中部分仅适用于美国的信息,则有另外标示。

FBI建议消费者在购入智能物联网互动玩具、并且带到家中(或是其他应注意安全的环境)之前,先考虑关于安全方面的问题。

许多所谓的智能玩具或儿童娱乐设备,都会根据和使用者的互动内容,来学习并改变它们自己的行为;这类玩具(以下均如此通称)多半使用了传感器、麦克风、摄影镜头、数据储存组件,并且具备一些包括语音识别或GPS地理定位之类的功能。这些功能的存在,可能会在儿童无意间透露许多个人信息,对于个人隐私和安全带来风险。

为什么这一点对家庭很重要?


不同类型的玩具,会有不同的功能和配备。例如内建麦克风的玩具,就可能在一定范围之内录下周围的对话;例如小孩的姓名、学校、喜好、以及最近会参与的活动等信息,也可能因为与玩具对话、或是在附近的正常对话而泄漏出去。

这样的数据记录能力、再加上玩具本身与Internet或其他设备之间的联机功能,对于这些数据、甚至个人实体的安全,都可能造成影响。当我们在在线注册玩具、设定个人账号时,通常可能会提供姓名、出生日期、照片、住址等个人信息。

此外,有些公司还会收集大量的其他个人资料,包括语音消息、对话记录(编按:例如客服电话录音)、过去和现在的所在地理位置、网络浏览历史、以及所在的网络IP地址等等。

外型特征和个人喜好之类的资料,可能被有心人士用于取得儿童信任。


如果上述这些数据曝光,就可能导致儿童身分遭到冒用;此外,诸如GPS地理位置、取自个人照片或影片的外型特征、以及个人喜好之类的数据,也可能被有心人士用于取得儿童的信任,造成更进一步的风险。

消费者在购买玩具之前,最好可以检视一下厂商提供的使用协议书、隐私权政策(编按:一般玩具大厂的网站上会有,只是不一定有中文版),以及厂商是否揭露用户数据会被传送到哪里去、储存在哪里、会不会被转送给哪些第三方厂商。

许多厂商往往会因为赶着让产品上市、或是为了简化玩具的操作方式,而“忘了”补上这些声明,所以消费者最好能在购买之前上网做功课,看看是否已经有安全专家或评鉴机构提出问题或抱怨。

为什么物联网玩具容易有安全问题?

一般来说,来自儿童和玩具之间的互动或对话信息,多半会被传送到玩具厂商或开发者的服务器或云端空间储存;有些时候,负责管理语音识别软件的第三方厂商也会收集这些资料。

如果厂商没有妥善运用数字密钥和编码技术来保护,这些包括录制语音、网站密码(通常来自家长用的玩具管理app)、住家地址、Wi-Fi无线网络相关信息、或是其他敏感个资也可能会在储存或传送过程中流出。

通常智能玩具会以下列两种方式之一来物联网:


直接物联网:透过Wi-Fi无线基地台连上网络;

间接物联网:透过蓝牙连结Android或iOS设备来物联网。


所以,玩具本身、相关app软件、以及环境中Wi-Fi无线网络的安全机制,都会直接影响整体的安全性;如果玩具、基地台、以及对外网络联机之间的通讯内容经过加密,可以避免黑客借助破解玩具、或是侧录通讯和对话内容来取得个资。

由于使用蓝牙联机的玩具,通常在和其他移动设备配对的过程中,不会有透过辨识码或密码来认证的功能,所以更容易有不明人士接掌玩具操控、甚至借机直接跟小孩互动的状况发生。

同样的,如果玩具的网络联机功能不够安全,也可能会有类似上述的情形。

有哪些消费者保护法可以保护我的小孩?

编按:本节为美国相关内容,仅供参考之用。


针对13岁以下儿童设计的网站和在线服务经营者、以及已知会收集13岁以下儿童个人资料的其他网站和服务,儿童在线隐私保护法案(Children’s Online Privacy Protection Act,COPPA)都已经有相关的信息保护要求;2017年6月21日,美国公平贸易委员会(FTC)也针对物联网玩具和相关服务更新了相关规定,要求厂商必须遵守COPPA,并确实在物联网玩具本身,以及相关app、地理定位、以及网络语音(VoIP)等功能上加入数据防护设计。

如果厂商不对物联网玩具进行合理的数据保护措施,可能会遭到FTC依据该委员会法案5(a)部分条文(主旨为“禁止不公平或虚假市场行为”)的追究。FBI也鼓励消费者对于目前法律有所规范、或是尚未规范的玩具和网络服务环境进行更多了解。

我可以做些什么?

FBI建议消费者在购买物联网玩具之前,至少考虑下列的各项建议:

上网搜寻了解下列(和其他)已知的安全问题;

只在已确知安全的无线网络环境下使用物联网玩具;

了解该玩具的网络联机安全措施:

在进行蓝牙联机时使用认证码或密码;

在透过网络联机,将玩具上的数据传送到远程服务器或云端服务时,必须将数据加密;

了解该玩具是否可以透过网络接收韧体更新、软件更新、以及安全漏洞修补程序;

如果可以的话,请确认该玩具是否已经执行最新版本、并且已经加上所有的安全漏洞修补程序;

了解传送给厂商会被储存在何处(例如该厂商、第三方服务、或是两者均有),以及这些公司是否有过去的相关安全记录;

详读玩具厂商与第三方服务商的隐私政策与相关宣告,并考虑下列事项:


如果该厂商遭到网络攻击而损失数据,会通知消费者吗?

如果玩具被发现有安全漏洞,会通知消费者吗?

你的数据会被存在哪里?

谁可以接触你的数据?

如果厂商的隐私权政策和相关宣告有所修改,会通知消费者吗?

如果你有问题或疑虑,可以找得到厂商的公开联络信息吗?

如果家长用app有监控功能,请用它密切关注小孩和玩具之间的互动内容(例如互相对话、或是玩具录下小孩声音);

在不使用玩具时,请关闭电源,特别是内建麦克风或摄影镜头的款式;

使用安全强度够高的密码来设定账号,建议将英文字母大小写、数字、以及特殊符号混合使用;

在开设帐号时,仅提供最低限度的个人资料;有些服务会要求输入小孩的生日或喜好,以换取额外的功能,请多考虑。

(美国适用)如果您怀疑小孩的玩具已经被破解入侵,请通知FBI的网络犯罪举报中心 www.IC3.gov。