連網玩具的資安問題愈來愈值得擔憂。安全公司Bluebox發現知名玩具公司美泰兒（Mattel）出品的一款可以Wi-Fi上網的「Hello芭比」（Hello Barbie）加密方法不夠安全及伺服器漏洞，使孩童的對話可能遭到駭客竊聽。
美泰兒今年二月推出售價75美元的Hello芭比，這款玩具內建麥克風、擴音器，可聽取孩童的對話，經由Wi-Fi連網回傳至雲端伺服器，經過類似Siri的人工智慧系統分析後，再回傳芭比和孩童即時對話。消費者可以透過iOS或Android App註冊ToyTalk帳號將芭比連上網路。
今年Bluebox偕同獨立安全研究人員Andrew Hay針對Hello芭比的無線元件進行檢視，發現其背後科技業者ToyTalk的iOS及Android版App，以及App與伺服器間的通訊使用加密協定有多項問題，首先在App端發現的安全問題，包括用於驗證的帳密不但可用來登入App，還可用來登入儲存孩童資料的雲端伺服器，此外芭比會將手機連上任何名稱中具有「Barbie」的Wi-Fi AP，這也可能讓駭客攔截通訊內容，並且還包含未使用的無用程式碼，徒然增加被攻擊的風險。
在雲端伺服器方面，研究人員並發現ToyTalk伺服器網域的雲端基礎架構藏有漏洞，可能遭致POODLE（貴賓犬）攻擊，使駭客能突破了SSL 3.0的密碼安全防護，截聽用戶端到伺服器端的網頁或郵件內容。
Bluebox研究人員Andrew Blaich表示，這項研究展示了對任何連網裝置而言，堅強的安全已不單純指裝置本身，應用開發應考慮安全性，而且從單一行動App到支援Hello芭比等IoT裝置的App都需整合自我防護能力。
在公佈這些問題前，Bluebox已經通報ToyTalk及美泰兒，ToyTalk 也已經修補了軟體及加密技術問題。ToyTalk發表聲明表示，雖然有許多人聲稱已駭入「Hello芭比」，但該公司並未有孩童對話錄音遭到存取。
該公司解釋，原有Hello芭比的Wi-Fi密碼是以硬體加密以唯存方式儲存在娃娃中，無法被回復，使用者帳密及孩童資料皆未儲存在手機App中。同時芭比和伺服器之間採用TLS雙向加密，孩童錄音資料及錄音紀錄也都未儲存於娃娃中。並強調娃娃韌體具備boot loader，可防止被第三方不當存取修改。
即使駭入組態芭比娃娃的AP介面，也只能看到娃娃的MAC介面及Wi-Fi名稱，無法取得Wi-Fi密碼及用戶註冊的電子郵件及密碼，而且僅在用戶以App組態娃娃的幾分鐘內，以及駭客位於其Wi-Fi網路的前提下為之。一旦芭比組態完成回到正常模式，就無法再存取該介面。
其實Hello芭比今年推出時就曾引發爭議，遭到許多父母懷疑，人工智慧產生的答案可能會教壞小孩。ToyTalk也強調並沒有發現芭比娃娃出言不當的問題。
這已非第一次連網玩具被駭威脅兒童隱私及安全。曾有駭客入侵並遠端控制嬰兒監視器遠端嚇小孩，上周香港兒童電子學習產品製造商VTech（偉易達）11月間遭到駭客入侵，可能有超過480萬名用戶的資料外洩，以及近640萬兒童檔案遭竊。